🇰🇷 한글 설명
WordPress용 Ultra Addons for Contact Form 7 플러그인의 'uacf7_wpcf7_mail_components' 함수에서 파일 유형 검증이 미흡하여 임의 파일 업로드가 가능한 취약점이 발견되었습니다. 공격자는 이를 통해 서버에 악성 파일을 업로드하고 원격 코드 실행(RCE)을 시도할 수 있습니다. 단, 이 취약점은 PDF Generator 모듈이 활성화된 경우에만 악용 가능합니다.
💡 쉬운 설명
웹사이트의 문의 양식 플러그인에 허점이 있어, 해커가 몰래 악성 파일을 서버에 올릴 수 있는 위험이 있습니다. 이 파일이 실행되면 해커가 웹사이트를 마음대로 조종할 수 있게 됩니다.
🇺🇸 원문 (English)
The Ultra Addons for Contact Form 7 plugin for WordPress is vulnerable to Arbitrary File Upload due to insufficient file type validation in the 'uacf7_wpcf7_mail_components' function in all versions up to, and including, 3.5.50. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site's server which may make remote code execution possible. Note: This is only exploitable when the plugin's PDF Generator module is enabled, which is disabled by default.
📍 영향받는 시스템
Ultra Addons for Contact Form 7 plugin (버전 3.5.50 및 그 이하 모든 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 PDF Generator 모듈이 활성화된 상태에서 조작된 파일을 업로드하여 공격
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 사용하지 않는 경우 PDF Generator 모듈을 비활성화하십시오.
🔧 검증 코드
출력된 결과에서 플러그인 이름과 현재 설치된 버전이 3.5.50 이하인지 확인하십시오.
wp plugin list --allow-root | grep -E 'ultra-addons-for-contact-form-7'