🇰🇷 한글 설명
WooMS WordPress 플러그인 9.14 이하 버전에서 사용자 제공 URL에 대한 검증이 누락되어 서버 측 요청 위조(SSRF) 취약점이 발생합니다. 공격자는 이를 통해 인증 없이 서버 측 요청을 수행할 수 있으며, 데이터 동기화 기능이 활성화된 경우 저장된 타사 통합 인증 정보가 유출될 수 있습니다.
💡 쉬운 설명
해커가 조작된 주소를 입력하여 웹사이트 서버가 공격자가 원하는 곳으로 몰래 접속하게 만들 수 있는 결함입니다. 이 과정에서 웹사이트가 보관 중인 중요한 비밀번호나 인증 정보가 함께 전달되어 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The WooMS WordPress plugin through 9.14 does not validate a user-supplied URL before using it in a server-side request and attaches stored third-party integration credentials to every such request, allowing unauthenticated attackers to perform Server-Side Request Forgery and to disclose the configured integration credentials when the relevant data-sync feature is enabled.
📍 영향받는 시스템
WooMS WordPress plugin version 9.14 and below
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 URL을 입력하여 서버 측 요청 위조(SSRF) 수행
🛡️ 대응 방법
WooMS 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 'wooms'가 포함되어 있다면 해당 플러그인이 설치된 것이며, 설치된 버전이 9.14 이하인지 확인이 필요합니다.
wp plugin list --status=active | grep -i 'wooms'