🇰🇷 한글 설명
Realtyna Organic IDX 및 WPL Real Estate WordPress 플러그인 5.3.0 미만 버전에서 파일 업로드 유형 검증이 누락되는 취약점이 발견되었습니다. 모든 설치 환경에 동일하게 적용된 하드코딩된 자격 증명을 통해 인증된 API에 접근할 수 있어, 공격자가 임의의 PHP 파일을 업로드하고 원격 코드 실행(RCE)을 달성할 수 있습니다.
💡 쉬운 설명
해커가 미리 정해진 비밀번호를 이용해 웹사이트에 몰래 악성 파일을 올릴 수 있는 보안 구멍이 있습니다. 이 파일을 통해 해커는 웹사이트를 마음대로 조종할 수 있게 됩니다.
🇺🇸 원문 (English)
The Realtyna Organic IDX plugin + WPL Real Estate WordPress plugin before 5.3.0 does not validate the type of uploaded files, and its file upload functionality is gated only by an API that is enabled by default and authenticated with hardcoded credentials shipped identically across all installations. This makes it possible for unauthenticated attackers to upload arbitrary PHP files and achieve remote code execution.
📍 영향받는 시스템
Realtyna Organic IDX plugin, WPL Real Estate WordPress plugin (version < 5.3.0)
⚔️ 공격 벡터
하드코딩된 자격 증명을 이용한 API 접근 후 검증되지 않은 파일 업로드 기능을 통한 PHP 파일 실행
🛡️ 대응 방법
해당 플러그인을 최신 버전(5.3.0 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록의 버전이 5.3.0 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'realtyna-organic-idx|wpl-real-estate'