🇰🇷 한글 설명
Personal QR Message WordPress 플러그인 1.0 이하 버전에서 인증되지 않은 사용자가 파일 형식을 제한 없이 업로드할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 실행 가능한 PHP 파일을 업로드하고 직접 접근함으로써 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 웹사이트에 악성 프로그램을 몰래 올릴 수 있는 보안 구멍이 있습니다. 이 파일을 실행하면 해커가 내 웹사이트를 마음대로 조종할 수 있게 됩니다.
🇺🇸 원문 (English)
The Personal QR Message WordPress plugin through 1.0 does not restrict the file types that can be uploaded through an unauthenticated handler, allowing unauthenticated users to upload arbitrary executable PHP files that are directly reachable, leading to remote code execution.
📍 영향받는 시스템
Personal QR Message WordPress plugin 1.0 및 그 이하 모든 버전
⚔️ 공격 벡터
인증되지 않은 사용자가 파일 업로드 핸들러를 통해 악성 PHP 파일을 업로드하여 원격에서 명령을 실행함
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하거나, 사용하지 않을 경우 삭제하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 취약한 버전이 설치되어 있을 가능성이 높으므로 버전을 확인해야 합니다.
wp plugin list --all | grep -i 'personal-qr-message'