🇰🇷 한글 설명
affiliate-toolkit WordPress 플러그인 3.9.1 미만 버전에서 낮은 권한을 가진 사용자가 템플릿 본문을 조작하여 서버에서 PHP 코드를 실행할 수 있는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 임의의 PHP 코드를 실행하여 서버를 제어할 수 있습니다.
💡 쉬운 설명
플러그인의 허점을 이용해 일반적인 글 작성 권한만 있는 사용자도 서버를 마음대로 조종할 수 있는 명령어를 입력할 수 있습니다. 공격자가 이 기능을 악용하면 웹사이트의 모든 데이터를 훔치거나 파괴할 수 있습니다.
🇺🇸 원문 (English)
The affiliate-toolkit WordPress plugin before 3.9.1 does not prevent a low-privileged user from supplying a template body that its bundled templating engine compiles and executes as PHP, allowing users with the Contributor role or above to run arbitrary PHP code on the server.
📍 영향받는 시스템
affiliate-toolkit WordPress plugin version < 3.9.1
⚔️ 공격 벡터
낮은 권한(Contributor 이상)을 가진 사용자가 템플릿 엔진에 악성 PHP 코드가 포함된 본문을 입력하여 실행
🛡️ 대응 방법
affiliate-toolkit 플러그인을 최신 버전인 3.9.1 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과에 버전 정보가 출력되면 취약한 버전이 설치된 것이며, 아무것도 출력되지 않으면 안전합니다.
wp plugin list --name affiliate-toolkit --format=csv | grep -E 'affiliate-toolkit,[^3\.9\.1]'