🇰🇷 한글 설명
Contact Form 7 WordPress 플러그인 1.3.9.9 미만 버전에서 파일 업로드 시 파일 이름 검증 결함이 발견되었습니다. 공격자가 특수 문자를 이용해 파일 확장자 제한을 우회함으로써 서버에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
파일을 올릴 때 이름에 포함된 특정 문자를 지우는 과정에서 보안 구멍이 생기는 문제입니다. 이를 통해 해커가 악성 파일을 정상적인 파일인 것처럼 속여 서버에 설치할 수 있습니다.
🇺🇸 원문 (English)
The Drag and Drop Multiple File Upload for Contact Form 7 WordPress plugin before 1.3.9.9 does not validate the final name of an uploaded file after stripping characters from it, allowing unauthenticated users to defeat its file type restrictions and execute arbitrary code on the server.
📍 영향받는 시스템
WordPress Drag and Drop Multiple File Upload for Contact Form 7 plugin version < 1.3.9.9
⚔️ 공격 벡터
인증되지 않은 사용자가 파일 이름 조작을 통해 업로드 제한을 우회하여 악성 스크립트 업로드
🛡️ 대응 방법
해당 플러그인을 최신 버전인 1.3.9.9 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 1.3.9.9보다 낮으면 취약한 상태입니다.
wp plugin list --allow-root | grep 'drag-and-drop-multiple-file-upload-for-contact-form-7'