🇰🇷 한글 설명
Redirection for Contact Form 7 WordPress 플러그인 2.2.7 미만 3.2.11 버전에서 제출된 폼 값에 포함된 숏코드가 실행되는 취약점이 발견되었습니다. 인증되지 않은 사용자가 사이트에 등록된 모든 숏코드를 실행하고 그 출력값을 읽을 수 있습니다.
💡 쉬운 설명
문의 양식에 특수한 코드를 입력하면 웹사이트가 이를 명령어로 착각하여 실행해버리는 문제입니다. 이를 통해 공격자는 사이트의 민감한 정보를 몰래 읽어갈 수 있습니다.
🇺🇸 원문 (English)
The Redirection for Contact Form 7 WordPress plugin from 2.2.7 before 3.2.11 does not prevent shortcodes in submitted form values from being executed when it substitutes those values into an action's settings and then processes those settings for shortcodes, allowing unauthenticated users to run any shortcode registered on the site and read its output.
📍 영향받는 시스템
Redirection for Contact Form 7 WordPress plugin (2.2.7 미만 ~ 3.2.11 미만 버전)
⚔️ 공격 벡터
인증되지 않은 사용자가 문의 양식(Contact Form)의 입력 필드에 악의적인 숏코드를 삽입하여 전송
🛡️ 대응 방법
해당 플러그인을 최신 버전(3.2.11 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 플러그인 이름과 현재 설치된 버전을 확인하여 3.2.11 미만인지 체크합니다.
wp plugin list --status=active | grep 'redirection-for-contact-form-7'