🇰🇷 한글 설명
Ninja Forms WordPress 플러그인 3.14.8 버전에서 서버 측 보안 검증을 클라이언트 측에 의존하여 발생하는 취약점이 발견되었습니다. 인증되지 않은 공격자가 AJAX 요청을 통해 폼 정의를 조작함으로써 유효성 검사, 필수 항목 체크, CAPTCHA 등을 우회하고 악의적인 데이터를 전송할 수 있습니다.
💡 쉬운 설명
웹사이트의 문의 양식(폼)이 데이터를 검사할 때, 서버가 아닌 사용자의 브라우저 설정에 의존하는 허점이 있습니다. 이를 통해 공격자는 보안 검사를 모두 무시하고 가짜 정보를 마음대로 입력하여 보낼 수 있습니다.
🇺🇸 원문 (English)
Ninja Forms WordPress plugin version 3.14.8 contains a client-side enforcement of server-side security vulnerability that allows unauthenticated attackers to bypass all form validation by merging attacker-controlled field metadata over server-loaded form definitions before validation runs. Attackers can craft a malicious AJAX submission overriding field types, removing required flags, and disabling CAPTCHA checks through the nopriv AJAX endpoint to trigger form actions such as email notifications and database storage with unverified, attacker-controlled content.
📍 영향받는 시스템
Ninja Forms WordPress plugin version 3.14.8
⚔️ 공격 벡터
nopriv AJAX 엔드포인트를 통한 악의적인 필드 메타데이터 병합 및 제출
🛡️ 대응 방법
Ninja Forms 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 ninja-forms의 버전이 3.14.8인지 확인하십시오.
wp plugin list --allow-root | grep -E 'ninja-forms'