🇰🇷 한글 설명
Forminator Forms WordPress 플러그인 1.57.2.1 미만 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 로그인된 모든 사용자, 심지어 권한이 없는 구독자라 할지라도 관리자 화면 구성 과정에서 발생하는 마이그레이션 로직을 악용하여 사이트 내 모든 폼의 필드 설정을 임의로 변경할 수 있습니다.
💡 쉬운 설명
로그인만 하면 누구나 사이트의 결제 양식 설정을 마음대로 바꿀 수 있는 보안 구멍이 발견되었습니다. 해커가 결제 정보를 가로채거나 금액을 조작하는 등의 행위가 가능할 수 있습니다.
🇺🇸 원문 (English)
The Forminator Forms WordPress plugin before 1.57.2.1 does not perform a nonce, capability or ownership check before running a one-time payment-field migration during the construction of one of its admin screens, and that construction happens on every wp-admin request for any logged-in user. Any authenticated user, including a Subscriber with no permissions in the Forminator Forms WordPress plugin before 1.57.2.1, can therefore rewrite the saved field configuration of any form on the site, including a live payment form.
📍 영향받는 시스템
Forminator Forms WordPress plugin version < 1.57.2.1
⚔️ 공격 벡터
인증된 사용자(Subscriber 포함)가 권한 검증이 누락된 관리자 페이지의 마이그레이션 로직을 호출하여 공격
🛡️ 대응 방법
Forminator Forms 플러그인을 최신 버전인 1.57.2.1 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 forminator의 버전이 1.57.2.1보다 낮은지 확인하십시오.
wp plugin list --status=active | grep -i 'forminator' && wp plugin list --all | grep -E 'forminator' | awk '{print $2 " " $3}'