🇰🇷 한글 설명
Supsystic Contact Form WordPress 플러그인 1.11.1 이전 버전은 캡처된 폼 제출 내용을 일괄 삭제하고 폼 통계를 초기화하는 두 관리자 전용 작업에서 CSRF 토큰이나 요청 출처를 검증하지 않습니다. 이로 인해 공격자는 로그인된 관리자를 속여 위조 요청을 보내게 함으로써 사이트에 저장된 연락처 리드와 분석 데이터를 영구적으로 파괴할 수 있습니다.
💡 쉬운 설명
관리자가 악성 링크나 페이지를 열면, 관리자 몰래 사이트의 문의 기록과 통계 데이터가 지워질 수 있습니다. 한 번 지워진 데이터는 복구가 어려울 수 있습니다.
🇺🇸 원문 (English)
The Contact Form by Supsystic WordPress plugin before 1.11.1 does not validate a CSRF token or request origin on two administrator-only actions that bulk-delete captured form submissions and wipe a form's statistics, allowing attackers to permanently destroy a site's stored contact leads and analytics by tricking a logged-in administrator into sending a forged request.
📍 영향받는 시스템
Contact Form by Supsystic WordPress 플러그인 1.11.1 미만 버전
⚔️ 공격 벡터
로그인된 관리자가 공격자가 만든 악성 페이지나 링크를 방문하면 위조된 요청이 전송되어 문의 데이터와 통계가 삭제됨
🛡️ 대응 방법
Contact Form by Supsystic 플러그인을 1.11.1 이상으로 업데이트하고, 관리자 계정은 신뢰할 수 없는 링크 방문을 피하도록 합니다.
🔧 검증 코드
출력된 버전이 1.11.1 미만이면 취약하며, 1.11.1 이상이면 패치가 적용된 것입니다.
wp plugin get contact-form-by-supsystic --field=version 2>/dev/null || grep -m1 "Version:" wp-content/plugins/contact-form-by-supsystic/*.php 2>/dev/null