🇰🇷 한글 설명
WP Ultimate CSV Importer 9.0 미만 버전에서 가져온 필드 값을 SQL 문에 사용하기 전에 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이로 인해 관리자와 같은 높은 권한을 가진 사용자가 SQL 인젝션 공격을 수행할 수 있습니다.
💡 쉬운 설명
데이터를 불러올 때 검사를 제대로 하지 않아, 관리자가 악의적인 명령어를 입력하면 데이터베이스를 조작할 수 있는 문제입니다. 높은 권한을 가진 사용자가 데이터베이스의 정보를 훔치거나 수정할 위험이 있습니다.
🇺🇸 원문 (English)
The WP Ultimate CSV Importer WordPress plugin before 9.0 does not properly sanitise and escape imported field values before using them in a SQL statement, which could allow high privilege users such as admin to perform SQL injection attacks.
📍 영향받는 시스템
WP Ultimate CSV Importer WordPress plugin version < 9.0
⚔️ 공격 벡터
권한이 있는 사용자가 조작된 CSV 파일을 업로드하여 SQL 쿼리를 실행하는 방식
🛡️ 대응 방법
WP Ultimate CSV Importer 플러그인을 최신 버전(9.0 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 버전 정보가 9.0 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'wp-ultimate-csv-importer'