🇰🇷 한글 설명
WordPress의 Forminator Forms 플러그인 1.55.0.2 이하 버전에서 발생하는 IDOR(부적절한 직접 객체 참조) 취약점입니다. 공격자가 'draft' 파라미터를 조작하여 다른 사용자가 작성 중인 양식의 임시 저장 데이터를 열람할 수 있습니다. 이로 인해 이름, 이메일, 전화번호, 주소 등 민감한 개인정보가 유출될 수 있습니다.
💡 쉬운 설명
양식 작성 중 '임시 저장' 기능을 사용하는 과정에서 보안 허점이 발견되었습니다. 해커가 숫자를 하나씩 바꿔가며 입력하면 다른 사람이 작성하던 개인정보를 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
The Forminator Forms – Contact Form, Payment Form & Custom Form Builder plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.55.0.2 via the 'draft' parameter due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to enumerate sequential integer entry IDs via the 'draft' parameter and read other users' saved draft form data, including names, email addresses, phone numbers, addresses, and free-form message content. This is only exploitable on forms that have the 'Save and Continue' feature enabled.
📍 영향받는 시스템
WordPress Forminator Forms 플러그인 1.55.0.2 및 그 이전의 모든 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 'draft' 파라미터의 정수 ID를 순차적으로 변경하여 임시 저장된 데이터를 조회
🛡️ 대응 방법
Forminator Forms 플러그인을 최신 버전으로 업데이트하거나, 사용하지 않는 경우 'Save and Continue' 기능을 비활성화하십시오.
🔧 검증 코드
출력된 결과에서 forminator 플러그인의 버전이 1.55.0.2 이하인지 확인하십시오.
wp plugin list --name forminator | grep -E 'forminator'