🇰🇷 한글 설명
The Hustle WordPress 플러그인 7.8.14.2 미만 버전에서 폼 제출 값에 포함된 숏코드를 실행하는 것을 방지하지 못하는 취약점이 발견되었습니다. 공격자가 중첩된 숏코드를 사용하여 보안 검사를 우회할 수 있으며, 이를 통해 인증되지 않은 사용자가 사이트에 등록된 모든 숏코드를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트 문의 양식에 특수한 코드를 숨겨서 보내면, 사이트가 이를 잘못 처리하여 공격자가 원하는 명령을 실행하게 만드는 문제입니다. 로그인하지 않은 외부인도 사이트의 기능을 마음대로 조작할 위험이 있습니다.
🇺🇸 원문 (English)
The Hustle WordPress plugin before 7.8.14.2 does not prevent shortcodes in submitted form values from being executed when it substitutes those values into the message it returns after submission, because the guard it applies can be defeated by nesting, allowing unauthenticated users to run any shortcode registered on the site.
📍 영향받는 시스템
The Hustle WordPress plugin version < 7.8.14.2
⚔️ 공격 벡터
폼 제출 시 중첩된 숏코드를 입력하여 보안 필터를 우회하는 방식
🛡️ 대응 방법
The Hustle WordPress 플러그인을 7.8.14.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 7.8.14.2보다 낮은지 확인하십시오.
wp plugin list --status=active | grep -i 'the-hustle' && wp plugin list --all | grep -E 'the-hustle' | awk '{print $2 " " $3}'