🇰🇷 한글 설명
JetFormBuilder WordPress 플러그인 3.6.5.2 이전 버전에서 주소 값의 줄바꿈 문자를 검증하거나 제거하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 임의의 이메일 헤더를 주입하여 수신자를 숨기거나 발신자를 사칭할 수 있습니다. 이 공격은 사이트가 폼 필드에서 이메일 주소를 가져오도록 설정된 경우에 발생합니다.
💡 쉬운 설명
웹사이트 문의 양식에 특수 문자를 입력하여 이메일의 발신자나 수신자를 마음대로 조작할 수 있는 보안 약점입니다. 공격자가 이 기능을 악용하면 마치 정상적인 메일인 것처럼 속여서 스팸을 보내거나 정보를 가로챌 수 있습니다.
🇺🇸 원문 (English)
The JetFormBuilder WordPress plugin before 3.6.5.2 does not validate or strip line breaks from address values it sources from submitted form fields before adding them to the headers of the e-mails it sends, allowing unauthenticated users to inject arbitrary e-mail headers, add hidden recipients and spoof the sender. Exploitation requires the site to be configured to take one of the message's addresses from a form field.
📍 영향받는 시스템
JetFormBuilder WordPress plugin version < 3.6.5.2
⚔️ 공격 벡터
폼 필드 입력값에 줄바꿈 문자를 포함시켜 이메일 헤더를 조작하는 이메일 헤더 주입(Email Header Injection) 공격
🛡️ 대응 방법
JetFormBuilder 플러그인을 최신 버전인 3.6.5.2 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 jetformbuilder의 버전이 3.6.5.2 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'jetformbuilder'