🇰🇷 한글 설명
Depicter — Popup & Slider Builder WordPress 플러그인 4.8.0 미만 버전에서 파일 유형 검증 미흡 및 악성 파일 삭제 실패 취약점이 발견되었습니다. 이를 통해 편집자 권한을 가진 사용자가 웹 접근이 가능한 디렉토리에 임의의 파일(PHP 실행 파일 포함)을 생성하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
플러그인의 가져오기 기능을 이용해 악성 파일을 몰래 올릴 수 있는 보안 구멍이 있습니다. 공격자가 이 기능을 악용하면 웹사이트를 마음대로 조종할 수 있는 위험한 상태가 됩니다.
🇺🇸 원문 (English)
The Depicter — Popup & Slider Builder WordPress plugin before 4.8.0 does not validate the type of a file uploaded through its import feature and does not remove a malformed upload, allowing users with editor-level access to write an arbitrary file (including executable PHP) into a web-accessible directory, which can lead to remote code execution.
📍 영향받는 시스템
Depicter — Popup & Slider Builder WordPress plugin 4.8.0 미만 버전
⚔️ 공격 벡터
편집자 권한을 가진 사용자가 가져오기 기능을 통해 악성 PHP 파일을 업로드하여 실행
🛡️ 대응 방법
Depicter — Popup & Slider Builder 플러그인을 최신 버전(4.8.0 이상)으로 즉시 업데이트
🔧 검증 코드
출력된 결과에서 Depicter 플러그인의 버전이 4.8.0 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'depicter'