🇰🇷 한글 설명
WordPress용 Nexter Blocks 플러그인 5.0.0 이하 버전에서 'plus_name' 파라미터를 통한 디렉토리 트래버설 취약점이 발견되었습니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 서버의 임의 JS/CSS 파일을 삭제할 수 있으며, 이는 서비스 거부(DoS)나 중요 자산 파괴로 이어질 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 시스템의 파일 경로를 조작하여 웹사이트 운영에 필요한 중요한 디자인 파일을 삭제할 수 있는 문제입니다. 이로 인해 웹사이트 화면이 깨지거나 정상적인 서비스 이용이 불가능해질 수 있습니다.
🇺🇸 원문 (English)
The Nexter Blocks – Gutenberg Blocks, Page Builder & AI Website Builder plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, 5.0.0 via the 'plus_name' parameter. This makes it possible for authenticated attackers, with subscriber-level access and above, to delete arbitrary JS/CSS files on the server, which can lead to denial of service or destruction of critical plugin and theme assets.
📍 영향받는 시스템
Nexter Blocks – Gutenberg Blocks, Page Builder & AI Website Builder plugin (버전 5.0.0 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증된 사용자(구독자 권한 이상)가 'plus_name' 파라미터에 디렉토리 경로 조작 문자를 삽입하여 파일 삭제 명령 수행
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 nexter-blocks가 나타나면 설치된 것이며, 설치된 버전이 5.0.0 이하인지 확인이 필요합니다.
wp plugin list --status=active | grep -i 'nexter-blocks'