🇰🇷 한글 설명
WordPress의 Ovatheme Events Manager 플러그인 1.8.5 이하 버전에서 파일 유형 검증 미비로 인한 임의 파일 업로드 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
해커가 아무런 로그인 없이도 웹사이트 서버에 악성 파일을 몰래 올릴 수 있는 보안 구멍이 발견되었습니다. 이 파일을 통해 해커가 웹사이트를 마음대로 조종하거나 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
The Ovatheme Events Manager plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the process_checkout() function in all versions up to, and including, 1.8.5. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site's server which may make remote code execution possible.
📍 영향받는 시스템
Ovatheme Events Manager plugin for WordPress (버전 1.8.5 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 process_checkout() 함수를 악용하여 검증되지 않은 파일을 업로드함
🛡️ 대응 방법
Ovatheme Events Manager 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 나타나는 플러그인 버전이 1.8.5 이하인지 확인하십시오.
wp plugin list --allow-root | grep -E 'ovatheme-events-manager'