🇰🇷 한글 설명
WordPress용 CTX Feed Pro 플러그인의 7.6.12 이하 모든 버전에서 코드 주입 취약점이 발견되었습니다. 'Feed Config' 필드에 대한 입력값 검증이 미흡하여 eval() 함수로 직접 전달되는 문제가 있습니다. 이를 통해 관리자 권한을 가진 인증된 공격자가 서버에서 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 플러그인 설정창에 악성 코드를 입력하여 서버를 마음대로 조종할 수 있는 보안 약점입니다. 설정값 검증이 제대로 이루어지지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
The CTX Feed Pro plugin for WordPress is vulnerable to Code Injection in all versions up to, and including, 7.6.12. This is due to insufficient input validation on the 'Feed Config' field which is passed directly to the eval() function. This makes it possible for authenticated attackers, with Administrator-level access and above, to execute arbitrary PHP code on the server.
📍 영향받는 시스템
CTX Feed Pro plugin for WordPress (version 7.6.12 and below)
⚔️ 공격 벡터
인증된 관리자 권한을 이용한 'Feed Config' 필드 내 악성 PHP 코드 주입
🛡️ 대응 방법
CTX Feed Pro 플러그인을 최신 버전으로 업데이트하거나 해당 취약점이 해결된 패치를 적용하십시오.
🔧 검증 코드
명령어 결과에 현재 설치된 플러그인 버전이 7.6.12 이하로 표시되면 취약한 상태입니다.
wp plugin list --name ctx-feed-pro --format=csv | grep -E 'ctx-feed-pro,7\[0-9]\.[0-9]{1,2}\.[0-9]{1,2}'