🇰🇷 한글 설명
Redirection for Contact Form 7 WordPress 플러그인 3.2.16 이전 버전은 데이터 요청 폼에 입력된 이메일 주소의 소유권을 확인하지 않습니다. 기본 설정에서는 요청이 이미 확인된 것으로 기록되어, 인증되지 않은 방문자도 자신이 소유하지 않은 주소에 대해 검증된 WordPress 개인정보 삭제 또는 내보내기 요청을 만들 수 있습니다.
💡 쉬운 설명
누구든지 남의 이메일 주소로 개인정보 삭제나 내보내기 요청을 보낼 수 있습니다. 이 요청이 이미 확인된 것처럼 처리되어 사이트 운영자가 주의하지 않으면 실제 사용자에게 영향을 줄 수 있습니다.
🇺🇸 원문 (English)
The Redirection for Contact Form 7 WordPress plugin before 3.2.16 does not verify ownership of the email address supplied through its data request form action and by default records the resulting request as already confirmed, allowing unauthenticated visitors to create verified WordPress personal data erasure or export requests for addresses they do not control.
📍 영향받는 시스템
Redirection for Contact Form 7 WordPress 플러그인 3.2.16 미만 버전
⚔️ 공격 벡터
인증 없이 데이터 요청 폼에 타인의 이메일 주소를 입력해 소유권 확인 없이 검증된 개인정보 삭제/내보내기 요청을 생성
🛡️ 대응 방법
플러그인을 3.2.16 이상으로 업데이트하고, 데이터 요청의 이메일 확인 설정을 점검
🔧 검증 코드
출력된 Version 값이 3.2.16 미만이면 취약하며, 플러그인이 없거나 3.2.16 이상이면 해당 CVE의 영향을 받지 않습니다.
wp plugin list --name=redirection-for-contact-form-7 --fields=name,version,status 2>/dev/null || grep -h 'Version:' /var/www/html/wp-content/plugins/redirection-for-contact-form-7/*.php 2>/dev/null | head -1