🇰🇷 한글 설명
VikBooking Hotel Booking Engine & PMS WordPress 플러그인 1.8.15 미만 버전에서 인증되지 않은 방문자가 라이브 채팅에 파일 유형을 제한 없이 첨부할 수 있는 취약점이 발견되었습니다. 공격자는 악성 콘텐츠가 포함된 파일을 업로드하여 관리자가 대화를 확인하는 과정에서 해당 코드가 관리자 권한으로 실행되도록 유도할 수 있습니다.
💡 쉬운 설명
채팅창을 통해 아무나 악성 파일을 올릴 수 있는 보안 구멍이 있습니다. 관리자가 이 파일을 확인하는 순간, 해커가 심어놓은 명령어가 관리자 권한으로 실행되어 사이트가 해킹될 수 있습니다.
🇺🇸 원문 (English)
The VikBooking Hotel Booking Engine & PMS WordPress plugin before 1.8.15 does not restrict the type of files unauthenticated visitors may attach to its live chat, nor sanitize their contents, allowing them to store active content which is executed in the context of an administrator viewing the conversation.
📍 영향받는 시스템
VikBooking Hotel Booking Engine & PMS WordPress plugin version < 1.8.15
⚔️ 공격 벡터
인증되지 않은 사용자가 라이브 채팅 기능을 통해 악성 스크립트가 포함된 파일을 업로드하여 관리자의 브라우저에서 실행 유도
🛡️ 대응 방법
VikBooking Hotel Booking Engine & PMS 플러그인을 최신 버전인 1.8.15 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 vikbooking 플러그인의 버전이 1.8.15 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'vikbooking'