🇰🇷 한글 설명
FV Flowplayer Video Player 워드프레스 플러그인 7.5.56.7212 이전 버전은 사용자가 입력한 URL을 검증하지 않고 서버에서 요청을 보낸 뒤 응답을 공개적으로 저장·제공합니다. 이로 인해 기여자(Contributor) 이상 권한을 가진 사용자가 서버 측 요청 위조(SSRF) 공격을 수행해 이미지 타입으로 반환되는 내부 리소스의 응답을 읽을 수 있습니다.
💡 쉬운 설명
워드프레스 동영상 플러그인이 사용자가 넣은 주소를 확인하지 않고 서버가 대신 접속하게 만듭니다. 그 결과 외부에서 볼 수 없는 서버 내부 자료가 노출될 수 있습니다.
🇺🇸 원문 (English)
The FV Flowplayer Video Player WordPress plugin before 7.5.56.7212 does not validate a user-supplied URL before performing a server-side fetch whose response body is stored and served publicly, allowing users with Contributor-level access and above to perform Server-Side Request Forgery (SSRF) attacks and to read the response of an internal resource when it is returned with an image content type.
📍 영향받는 시스템
FV Flowplayer Video Player 워드프레스 플러그인 7.5.56.7212 이전 버전
⚔️ 공격 벡터
기여자 이상 권한의 계정으로 플러그인에 내부 주소를 입력해 서버가 요청하게 한 뒤 이미지 형식으로 반환된 응답을 공개 페이지에서 확인
🛡️ 대응 방법
FV Flowplayer 플러그인을 7.5.56.7212 이상 버전으로 업데이트하고, 불필요한 기여자 권한 계정을 점검합니다.
🔧 검증 코드
출력된 Version 값이 7.5.56.7212 미만이면 취약하므로 업데이트가 필요하며, 아무것도 출력되지 않으면 해당 플러그인이 설치되어 있지 않은 것입니다.
grep -rh "Version:" /var/www/*/wp-content/plugins/fv-wordpress-flowplayer/*.php 2>/dev/null | head -n 5