🇰🇷 한글 설명
MetForm WordPress 플러그인 4.3.1 미만 버전에서 HubSpot Forms 통합 기능 활성화 시, 모든 양식 제출마다 웹 루트에 디버그 파일이 생성됩니다. 이 파일에 대한 접근 제한이 적절하지 않아 인증되지 않은 공격자가 상관 관계 식별자 및 쿠키를 포함한 상위 API 응답 데이터를 읽을 수 있습니다.
💡 쉬운 설명
웹사이트의 문의 양식을 제출할 때 생성되는 임시 기록 파일이 누구나 볼 수 있는 곳에 저장되는 문제입니다. 이를 통해 공격자가 중요한 인증 정보나 시스템 연결 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
The MetForm WordPress plugin before 4.3.1 does not properly restrict access to a debug file it writes to the web root on every form submission when its HubSpot Forms integration is enabled, allowing unauthenticated attackers to read upstream API response data, including correlation identifiers and cookies.
📍 영향받는 시스템
MetForm WordPress plugin version < 4.3.1
⚔️ 공격 벡터
웹 루트에 노출된 디버그 파일에 대한 직접적인 HTTP 요청을 통한 데이터 탈취
🛡️ 대응 방법
MetForm 플러그인을 최신 버전(4.3.1 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 MetForm의 버전이 4.3.1보다 낮은지 확인하십시오.
wp plugin list --allow-root | grep -E 'metform'