🇰🇷 한글 설명
Forminator Forms WordPress 플러그인 1.57.2.1 미만 버전에서 폼 제출 시 메타데이터 키를 제한하지 않는 취약점이 발견되었습니다. 인증되지 않은 방문자가 공개 폼을 통해 게시물을 생성할 때, 워드프레스가 예약한 키를 포함하여 임의의 메타데이터를 게시물에 첨부할 수 있습니다.
💡 쉬운 설명
누구나 작성할 수 있는 문의 양식을 통해 게시물을 올릴 때, 공격자가 몰래 숨겨진 설정값들을 조작하여 게시물을 만들 수 있는 문제입니다. 이를 통해 사이트의 게시물 정보를 의도치 않게 변경하거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
The Forminator Forms WordPress plugin before 1.57.2.1 does not restrict which metadata keys a form submission may supply, and does not exclude the keys WordPress reserves for its own use, so unauthenticated visitors submitting a public form that collects post content can attach metadata of their choosing to the post their submission creates.
📍 영향받는 시스템
Forminator Forms WordPress plugin version < 1.57.2.1
⚔️ 공격 벡터
인증되지 않은 사용자가 공개 폼 제출 시 조작된 메타데이터를 포함하여 전송
🛡️ 대응 방법
Forminator Forms 플러그인을 최신 버전(1.57.2.1 이상)으로 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 forminator-forms의 버전을 확인하여 1.57.2.1 미만인지 체크
wp plugin list --allow-root | grep -E 'forminator-forms'