🇰🇷 한글 설명
Simple Google Calendar Outlook Events Widget WordPress 플러그인 3.1.0 미만 버전에서 사용자 제공 URL에 대한 검증이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 서버 측 요청 위조(SSRF) 공격을 수행하여 내부 요청의 응답을 읽을 수 있습니다.
💡 쉬운 설명
웹사이트 플러그인이 사용자가 입력한 주소를 제대로 확인하지 않아 발생하는 문제입니다. 해커가 이 허점을 이용해 서버 내부의 비밀 정보에 접근하거나 다른 시스템을 공격할 수 있습니다.
🇺🇸 원문 (English)
The Simple Google Calendar Outlook Events Widget WordPress plugin before 3.1.0 does not validate a user-supplied URL before performing a server-side request, allowing unauthenticated attackers to perform Server-Side Request Forgery attacks and, in some cases, read the response of the internal request.
📍 영향받는 시스템
Simple Google Calendar Outlook Events Widget WordPress plugin version < 3.1.0
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 URL을 입력하여 서버가 내부 네트워크로 요청을 보내도록 유도
🛡️ 대응 방법
해당 플러그인을 최신 버전(3.1.0 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치 여부를 확인하고, 설치된 버전이 3.1.0 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'google-calendar-outlook-events'