🇰🇷 한글 설명
WordPress용 Ninja Forms 플러그인의 'ninja-forms-views/token/refresh' REST 콜백에서 권한 확인 절차가 누락되어 데이터에 무단 접근할 수 있는 취약점이 발견되었습니다. 3.14.1 버전까지의 모든 버전에서 발생하며, 인증되지 않은 공격자가 폼 제출 내용을 조회하여 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 웹사이트의 문의 양식에 작성된 내용을 몰래 볼 수 있는 보안 구멍이 발견되었습니다. 이로 인해 사용자가 입력한 개인정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Ninja Forms – The Contact Form Builder That Grows With You plugin for WordPress is vulnerable to unauthorized access of data due to a missing authorization check on the 'ninja-forms-views/token/refresh' REST callback in all versions up to, and including, 3.14.1. This makes it possible for unauthenticated attackers to view form submissions, which could potentially contain sensitive information.
📍 영향받는 시스템
Ninja Forms 플러그인 3.14.1 및 그 이하 모든 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 특정 REST API 엔드포인트에 접근하여 폼 제출 데이터를 조회
🛡️ 대응 방법
Ninja Forms 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트
🔧 검증 코드
출력된 결과에서 ninja-forms의 버전이 3.14.1 이하인지 확인
wp plugin list --allow-root | grep -E 'ninja-forms'