🇰🇷 한글 설명
Ninja Forms WordPress 플러그인 3.14.10 미만 버전에서 사용자 입력 쿼리 문자열이 숏코드로 처리되는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 공개된 페이지에 삽입된 폼을 통해 사이트에 등록된 임의의 숏코드를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 입력창에 특정 명령어를 넣으면, 사이트가 이를 단순한 글자가 아닌 실행 가능한 코드로 오해하여 작동하는 문제입니다. 공격자는 이를 이용해 사이트의 숨겨진 기능을 마음대로 실행할 수 있습니다.
🇺🇸 원문 (English)
The Ninja Forms WordPress plugin before 3.14.10 does not prevent user-supplied query-string input, used to pre-populate a form field's default value, from being processed as a shortcode, allowing unauthenticated attackers to execute arbitrary shortcodes registered on the site when a form so configured is embedded on a public page.
📍 영향받는 시스템
Ninja Forms WordPress plugin version < 3.14.10
⚔️ 공격 벡터
공개된 페이지의 폼 필드 기본값을 설정하는 쿼리 스트링에 악의적인 숏코드를 삽입하여 공격
🛡️ 대응 방법
Ninja Forms 플러그인을 최신 버전인 3.14.10 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 ninja-forms의 버전이 3.14.10 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'ninja-forms'