🇰🇷 한글 설명
Custom Fields WordPress 플러그인 1.5.1 미만 버전에서 사용자 입력 파일 경로에 대한 검증이 누락되었습니다. 이를 통해 인증되지 않은 공격자가 서버의 임의 파일(예: wp-config.php)을 삭제할 수 있으며, 이는 사이트 전체 권한 탈취로 이어질 수 있습니다.
💡 쉬운 설명
해커가 로그인 없이도 웹사이트의 중요한 설정 파일을 마음대로 지울 수 있는 심각한 결함입니다. 이로 인해 웹사이트가 완전히 망가지거나 해커에게 통제권을 뺏길 수 있습니다.
🇺🇸 원문 (English)
The Custom Fields WordPress plugin before 1.5.1 does not validate a user-supplied file path before deletion, allowing unauthenticated users to delete arbitrary files on the server (such as wp-config.php), which can lead to a full site takeover.
📍 영향받는 시스템
Custom Fields WordPress plugin version < 1.5.1
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 파일 경로를 전송하여 서버 내 임의 파일 삭제
🛡️ 대응 방법
Custom Fields WordPress 플러그인을 1.5.1 이상 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 custom-fields의 버전이 1.5.1 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'custom-fields'