🇰🇷 한글 설명
WordPress용 Otter Blocks 플러그인의 'otter_form_widget_filter' 파라미터에서 민감 정보 노출 취약점이 발견되었습니다. 인증된 사용자(구독자 권한 이상)는 최근 5명의 이메일 주소, 제출 날짜 및 전체 제출 횟수를 추출할 수 있습니다.
💡 쉬운 설명
플러그인을 사용하는 웹사이트의 로그인 권한이 있는 사용자가 다른 사람들이 양식에 입력한 이메일 주소를 몰래 볼 수 있는 문제입니다. 개인정보가 유출될 위험이 있으므로 주의가 필요합니다.
🇺🇸 원문 (English)
The Otter Blocks – Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 3.2.6 via the 'otter_form_widget_filter' parameter. This makes it possible for authenticated attackers, with subscriber-level access and above, to extract the email addresses of the five most recent form submitters, their submission dates, and the site's total form submission count. The widget is registered whenever the themeisle_blocks_form_emails option is non-empty — the normal state after any Form block has been saved — meaning the exposure is active on any standard site using the plugin's form feature.
📍 영향받는 시스템
Otter Blocks – Gutenberg Blocks 플러그인 3.2.6 이하 모든 버전
⚔️ 공격 벡터
인증된 공격자가 특정 파라미터(otter_form_widget_filter)를 조작하여 데이터 요청
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나 해당 기능을 사용하지 않도록 설정
🔧 검증 코드
출력된 결과에서 otter-blocks의 버전을 확인하여 3.2.6 이하인지 체크
wp plugin list --status=active | grep -i 'otter-blocks'