🇰🇷 한글 설명
WooCommerce Drag and Drop Multiple File Upload 플러그인 1.1.8 미만 버전에서 인증되지 않은 사용자가 파일 삭제 루틴을 제어하는 논스(nonce)를 획득할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 업로드 디렉토리에 대기 중인 파일을 삭제하여 고객의 주문 첨부 파일을 복구 불가능하게 파괴할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 해커가 웹사이트에 임시 저장된 중요한 파일을 마음대로 삭제할 수 있는 보안 결함입니다. 이로 인해 고객이 주문 시 첨부한 파일들이 영구적으로 사라질 위험이 있습니다.
🇺🇸 원문 (English)
The Drag and Drop Multiple File Upload for WooCommerce WordPress plugin before 1.1.8 does not prevent unauthenticated users from obtaining a valid nonce that is the only control gating its file-deletion routine, allowing anonymous attackers to delete files staged in its upload directory and irreversibly destroy customers' pending order attachments.
📍 영향받는 시스템
WooCommerce Drag and Drop Multiple File Upload plugin version < 1.1.8
⚔️ 공격 벡터
인증되지 않은 공격자가 유효한 논스(nonce)를 탈취하여 파일 삭제 API를 호출하는 방식
🛡️ 대응 방법
해당 플러그인을 최신 버전인 1.1.8 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.1.8보다 낮으면 취약한 상태입니다.
wp plugin list --status=active | grep -i 'drag-and-drop-multiple-file-upload' && wp plugin list --all --format=json | jq '.[] | select(.name=="drag-and-drop-multiple-file-upload") | .version'