🇰🇷 한글 설명
JetFormBuilder — Dynamic Blocks Form Builder WordPress 플러그인 3.6.5.2 이전 버전에서 HTML 알림 이메일 생성 시 폼 필드 값을 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 관리자에게 전송되는 이메일에 임의의 HTML을 삽입할 수 있습니다.
💡 쉬운 설명
웹사이트 양식에 악성 코드를 숨겨서 보내면, 관리자가 이메일을 확인할 때 이상한 화면이 보이거나 해킹 위험에 노출될 수 있는 문제입니다. 공격자가 이메일 내용을 마음대로 조작하여 가짜 내용을 보여줄 수 있습니다.
🇺🇸 원문 (English)
The JetFormBuilder — Dynamic Blocks Form Builder WordPress plugin before 3.6.5.2 does not properly sanitise and escape a form field's value before including it in the HTML notification emails it sends, allowing unauthenticated users to inject arbitrary HTML into messages delivered to administrators and other recipients. Whether injected script executes depends on the recipient's mail client, but the injected markup is rendered regardless.
📍 영향받는 시스템
JetFormBuilder — Dynamic Blocks Form Builder WordPress plugin version < 3.6.5.2
⚔️ 공격 벡터
인증되지 않은 사용자가 폼 필드에 악성 HTML 코드를 입력하여 관리자에게 전송되는 이메일에 삽입
🛡️ 대응 방법
JetFormBuilder 플러그인을 최신 버전인 3.6.5.2 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 JetFormBuilder의 버전을 확인하여 3.6.5.2 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'jetformbuilder'