🇰🇷 한글 설명
Forminator Forms WordPress 플러그인 1.57.2.1 미만 버전에서 XML-RPC 요청을 역직렬화할 때 클래스 인스턴스화 제한이 누락되는 취약점이 발견되었습니다. 이를 통해 폼 관리 권한을 가진 사용자는 원하는 파일을 생성하고 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
플러그인의 보안 허점을 이용해 권한이 있는 사용자가 웹사이트에 몰래 악성 프로그램을 설치할 수 있는 문제입니다. 관리자뿐만 아니라 특정 권한을 가진 일반 사용자도 공격을 수행할 수 있어 위험합니다.
🇺🇸 원문 (English)
The Forminator Forms WordPress plugin before 1.57.2.1 does not restrict which classes may be instantiated when it deserialises a value taken from an XML-RPC request, allowing users who hold its forms-management permission to write a file of their choosing and execute arbitrary code. That permission belongs to an administrator by default, and to any role the site has granted it through the Forminator Forms WordPress plugin before 1.57.2.1's own settings, so the issue is reachable well below administrator on sites that use that feature.
📍 영향받는 시스템
Forminator Forms WordPress plugin version < 1.57.2.1
⚔️ 공격 벡터
XML-RPC 요청을 통한 부적절한 객체 역직렬화(Insecure Deserialization)
🛡️ 대응 방법
Forminator Forms 플러그인을 최신 버전(1.57.2.1 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 forminator 플러그인의 버전이 1.57.2.1 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'forminator|forminator-forms'