🇰🇷 한글 설명
Advanced File Manager WordPress 플러그인 6.0.0 미만 버전에서 SVG 파일의 위변조 여부를 제대로 검증하지 못하는 취약점이 발견되었습니다. 이로 인해 파일 관리 권한이 있는 사용자가 악성 스크립트가 포함된 SVG 파일을 업로드할 수 있으며, 관리자를 포함한 다른 사용자가 해당 파일을 열람할 때 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
파일 관리 권한을 가진 사람이 그림 파일(SVG) 속에 몰래 악성 코드를 숨겨서 올릴 수 있는 문제입니다. 관리자가 이 그림을 클릭하는 순간, 관리자의 권한을 탈취하거나 웹사이트를 조작하는 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
The Advanced File Manager WordPress plugin before 6.0.0 does not correctly determine whether a stored file is an SVG before sanitising it, allowing users granted file-manager access by an administrator to store a file containing script that is not stripped and that runs in the browser of anyone who opens it, including an administrator.
📍 영향받는 시스템
Advanced File Manager WordPress plugin version < 6.0.0
⚔️ 공격 벡터
권한이 있는 사용자가 악성 스크립트가 삽입된 SVG 파일을 업로드한 후 관리자가 이를 열람하도록 유도
🛡️ 대응 방법
Advanced File Manager 플러그인을 최신 버전(6.0.0 이상)으로 즉시 업데이트
🔧 검증 코드
명령어 결과에 플러그인이 나타나면 설치 여부를 확인하고, 설치된 버전이 6.0.0 미만인지 플러그인 관리 페이지에서 대조하십시오.
wp plugin list --status=active | grep -i 'advanced-file-manager'