🇰🇷 한글 설명
MetForm WordPress 플러그인 4.3.1 이전 버전에서 제출된 양식 필드 값을 적절히 검증하거나 이스케이프 처리하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 관리자 및 제출자에게 전송되는 이메일 알림에 임의의 HTML 마크업을 삽입할 수 있습니다.
💡 쉬운 설명
웹사이트 문의 양식에 악성 코드를 섞어 보내면, 관리자가 받는 이메일에 가짜 링크나 이상한 내용이 포함될 수 있는 문제입니다. 공격자가 이메일 내용을 조작하여 관리자를 속이거나 정보를 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
The MetForm WordPress plugin before 4.3.1 does not sanitize or escape submitted form-field values before inserting them into the HTML body of its email notifications, allowing unauthenticated attackers to inject arbitrary markup into the administrator and submitter notification emails the site sends.
📍 영향받는 시스템
MetForm WordPress plugin version < 4.3.1
⚔️ 공격 벡터
인증되지 않은 공격자가 양식 필드에 악성 HTML 코드를 입력하여 이메일 알림을 통해 공격 수행
🛡️ 대응 방법
MetForm 플러그인을 최신 버전(4.3.1 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 metform의 버전이 4.3.1 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'metform'