🇰🇷 한글 설명
WordPress용 Advanced Custom Fields: Extended 플러그인 0.9.2.7 이하 버전에는 인증되지 않은 사용자용 AJAX 핸들러(wp_ajax_nopriv_*)에 적절한 current_user_can() 권한 검사가 없습니다. 게스트 nonce가 프론트엔드 페이지 소스에 노출되어 공격자가 이를 이용해 게시물 제목과 내부 레이아웃 구조를 무단으로 조회할 수 있으며, 이 취약점은 0.9.2.4 버전에서 부분적으로 패치되었습니다.
💡 쉬운 설명
로그인하지 않은 방문자도 웹사이트에 숨겨진 기능을 호출해 일부 게시글 제목과 내부 설정 정보를 볼 수 있는 문제입니다. 페이지 소스에 노출된 임시 인증값을 악용하는 방식이므로 플러그인을 최신 버전으로 업데이트하는 것이 필요합니다.
🇺🇸 원문 (English)
The Advanced Custom Fields: Extended plugin for WordPress is vulnerable to unauthorized access of data and triggering of server-side actions in all versions up to, and including, 0.9.2.7. This is due to multiple AJAX handlers registered for unauthenticated users (`wp_ajax_nopriv_*`) that fail to implement proper `current_user_can()` authorization checks. While these handlers use ACF's `acf_verify_ajax()` function to validate cryptographic nonces, the `acf_nonce` values are generated for guest users and publicly exposed in the page source of any frontend page utilizing an ACF form. This makes it possible for unauthenticated attackers to extract the guest nonce and bypass WordPress visibility permissions, leading to the unauthorized disclosure of post titles and internal Flexible Content layout structures. The vulnerability was partially patched in version 0.9.2.4.
📍 영향받는 시스템
WordPress Advanced Custom Fields: Extended 플러그인 0.9.2.7 이하 버전 (0.9.2.4에서 부분 패치, 완전 조치는 최신 버전 필요)
⚔️ 공격 벡터
비인증 공격자가 ACF 폼이 포함된 프론트엔드 페이지 소스에서 guest acf_nonce를 추출한 뒤 wp_ajax_nopriv_* 핸들러를 호출하여 게시물 제목 및 Flexible Content 레이아웃 정보를 조회
🛡️ 대응 방법
Advanced Custom Fields: Extended 플러그인을 0.9.2.8 이상(최신 버전)으로 업데이트하고 미사용 시 비활성화
🔧 검증 코드
출력된 version 값이 0.9.2.7 이하이면 취약하므로 0.9.2.8 이상으로 업데이트해야 하며, 플러그인이 비활성(inactive) 상태이면 위험도가 낮습니다.
wp plugin list --name=acf-extended --fields=name,version,status 2>/dev/null || grep -i 'Version:' wp-content/plugins/acf-extended/acf-extended.php 2>/dev/null