🇰🇷 한글 설명
WordPress용 'Better Find and Replace – AI-Powered Suggestions' 플러그인의 1.7.7 이하 모든 버전에서 제한된 코드 주입 취약점이 발견되었습니다. 'rtafar_ajax' 함수에 대한 입력값 검증 및 제한이 부족하여, 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 임의의 플러그인 함수를 호출하고 코드를 실행할 수 있습니다.
💡 쉬운 설명
워드프레스 플러그인의 보안 허점으로 인해, 일반 사용자 권한을 가진 사람도 사이트에 몰래 나쁜 명령어를 실행할 수 있습니다. 이로 인해 사이트의 설정이 바뀌거나 데이터가 위험해질 수 있습니다.
🇺🇸 원문 (English)
The Better Find and Replace – AI-Powered Suggestions plugin for WordPress is vulnerable to Limited Code Injection in all versions up to, and including, 1.7.7. This is due to insufficient input validation and restriction on the 'rtafar_ajax' function. This makes it possible for authenticated attackers, with Subscriber-level access and above, to call arbitrary plugin functions and execute code within those functions.
📍 영향받는 시스템
Better Find and Replace – AI-Powered Suggestions 플러그인 1.7.7 이하 모든 버전
⚔️ 공격 벡터
인증된 사용자(구독자 권한 이상)가 rtafar_ajax 함수를 통해 조작된 요청을 전송하여 공격
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나 사용 중지
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 1.7.7 이하인지 확인해야 합니다.
wp plugin list --status=active | grep -i 'better-find-and-replace'