🇰🇷 한글 설명
WordPress용 Element Pack Addons for Elementor 플러그인의 모든 버전(8.3.15 포함)에서 이메일 헤더 주입 취약점이 발견되었습니다. element_pack_contact_form AJAX 액션 처리 시 사용자 입력값의 줄바꿈 문자를 적절히 필터링하지 않아 발생합니다. 이를 통해 인증되지 않은 공격자가 이메일 헤더에 임의의 내용을 삽입할 수 있습니다.
💡 쉬운 설명
웹사이트 문의 양식에 특수 문자를 입력하여 이메일의 발신자나 수신자 정보를 조작할 수 있는 보안 약점입니다. 공격자가 이 취약점을 이용하면 스팸 메일을 대량으로 보내거나 이메일 시스템을 악용할 수 있습니다.
🇺🇸 원문 (English)
The Element Pack Addons for Elementor plugin for WordPress is vulnerable to Email Header Injection in all versions up to, and including, 8.3.15 via the `element_pack_contact_form` AJAX action. This is due to insufficient sanitization of newline characters in user-supplied input that gets concatenated into email headers. This makes it possible for unauthenticated attackers to inject arbitrary email headers into emails sent by the contact form.
📍 영향받는 시스템
Element Pack Addons for Elementor plugin (version 8.3.15 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 AJAX 요청을 통해 문의 양식 입력값에 줄바꿈 문자를 포함시켜 이메일 헤더를 조작함
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 입력값에 대한 줄바꿈 문자 필터링 로직을 적용해야 함
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 8.3.15 이하인지 점검함
wp plugin list --status=active | grep 'elementpack-addons-for-elementor'