🇰🇷 한글 설명
Bit Form WordPress 플러그인 3.1.0 미만 버전에서 워크플로 트리거 토큰의 유효성 검사가 적절히 이루어지지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 만료된 트랜지언트(transient)를 이용해 알림 이메일 전송이나 외부 연동과 같은 설정된 워크플로 동작을 재실행할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 웹사이트의 폼 기능을 악용해 이메일이 계속 발송되게 하거나 다른 서비스와 강제로 연결되게 만들 수 있는 문제입니다. 이로 인해 불필요한 이메일이 대량 발송되거나 시스템 리소스가 낭비될 수 있습니다.
🇺🇸 원문 (English)
The Bit Form WordPress plugin before 3.1.0 does not properly validate its workflow-trigger token once the associated transient has expired, allowing unauthenticated attackers to re-trigger a form's configured workflow actions such as notification emails and integrations.
📍 영향받는 시스템
Bit Form WordPress plugin version < 3.1.0
⚔️ 공격 벡터
인증되지 않은 공격자가 만료된 토큰을 사용하여 워크플로 트리거를 재실행하는 방식
🛡️ 대응 방법
Bit Form 플러그인을 최신 버전인 3.1.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 bit-form의 버전이 3.1.0 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'bit-form' | awk '{print $2, $3}'