🇰🇷 한글 설명
Contact Form 7용 Drag and Drop Multiple File Upload 플러그인 1.3.9.7 버전 이하에서 파일 타입 검증 부족으로 인한 임의 파일 업로드 취약점이 존재한다. 사용자 정의 블랙리스트가 기본 차단 목록을 병합하지 않고 대체하며, 비ASCII 문자를 포함한 파일명에 대해 sanitization 함수가 우회되어 인증 없는 공격자가 PHP 파일 등을 업로드하여 원격 코드 실행을 달성할 수 있다.
💡 쉬운 설명
WordPress 파일 업로드 플러그인의 악성 파일 검사 시스템이 제대로 작동하지 않아서, 공격자가 해로운 PHP 파일을 서버에 올릴 수 있다. 이를 통해 웹사이트를 완전히 제어하고 시스템을 해킹할 수 있게 된다.
🇺🇸 원문 (English)
The Drag and Drop Multiple File Upload for Contact Form 7 plugin for WordPress is vulnerable to arbitrary file upload in versions up to, and including, 1.3.9.7. This is due to insufficient file type validation that occurs when custom blacklist types are configured, which replaces the default dangerous extension denylist instead of merging with it, and the wpcf7_antiscript_file_name() sanitization function being bypassed for filenames containing non-ASCII characters. This makes it possible for unauthenticated attackers to upload arbitrary files, such as PHP files, to the server, which can be leveraged to achieve remote code execution. The vulnerability was originally reported by Leonid Semenenko (lsemenenko) and partially patched in version 1.3.9.7. A bypass for the patch was separately discovered and reported by Nguyen Hung (Mitchell).
📍 영향받는 시스템
Contact Form 7 Drag and Drop Multiple File Upload plugin version 1.3.9.7 and earlier for WordPress
⚔️ 공격 벡터
Unauthenticated attacker uploads PHP file with non-ASCII filename characters to bypass extension validation blacklist
🛡️ 대응 방법
Update plugin to version 1.3.9.8 or later; configure server to disable PHP execution in upload directories
🔧 검증 코드
1.3.9.7 이하 버전이 출력되면 취약함; 1.3.9.8 이상이면 패치됨
grep -h 'Version:' /var/www/html/wp-content/plugins/drag-drop-multiple-file-upload-cf7/drag-drop-multiple-file-upload-cf7.php 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+'