🇰🇷 한글 설명
WordPress의 WP Photo Album Plus 플러그인 9.3.02.002 이하 버전에서 인증된 사용자가 명령 주입(Command Injection)을 통해 임의의 OS 명령을 실행할 수 있는 취약점이 발견되었습니다. `update-photo` AJAX 액션의 `value` 파라미터가 적절한 이스케이프 처리 없이 ImageMagick 명령에 포함되며, 인코딩된 특수 문자가 복원되는 과정에서 보안 필터가 무력화됩니다. 이를 통해 공격자는 웹 서버 권한으로 원격 코드 실행(RCE)을 달성할 수 있습니다.
💡 쉬운 설명
사진 앨범 플러그인의 보안 허점을 이용해 해커가 서버에 몰래 명령을 내려 컴퓨터를 마음대로 조종할 수 있는 문제입니다. 권한이 있는 사용자라면 특수하게 조작된 사진 데이터를 보내 서버를 장악할 수 있습니다.
🇺🇸 원문 (English)
The WP Photo Album Plus plugin for WordPress is vulnerable to authenticated Command Injection in all versions up to, and including, 9.3.02.002 via the `value` parameter of the `update-photo` AJAX action. This is due to insufficient shell escaping within the `wppa_image_magick_a()` function, where the attacker-controlled `value` parameter is concatenated raw — without `escapeshellarg()` — into an ImageMagick command string before being passed to `exec()`; further, `wppa_decode()` actively restores percent-encoded shell metacharacters (e.g., `%26`→`&`, `%23`→`#`) rather than stripping them, allowing crafted payloads to survive sanitization and break out of the ImageMagick argument context. This makes it possible for authenticated attackers holding the plugin-defined `wppa_upload` capability to execute arbitrary operating-system commands as the web-server user, achieving full remote code execution on the underlying server. Exploitation requires ImageMagick to be enabled on the server; the `wppa_upload` capability is a plugin-level privilege that site administrators may grant to lower-privileged WordPress roles via the plugin's Users settings, broadening the pool of potential attackers beyond administrators.
📍 영향받는 시스템
WP Photo Album Plus plugin (all versions up to and including 9.3.02.002)
⚔️ 공격 벡터
인증된 공격자가 `update-photo` AJAX 액션의 `value` 파라미터에 쉘 메타문자를 포함한 페이로드를 전송하여 명령 실행
🛡️ 대응 방법
플러그인을 최신 보안 패치 버전으로 업데이트하고, 불필요한 사용자에게 `wppa_upload` 권한 부여를 제한하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 WP Photo Album Plus의 버전을 확인하여 9.3.02.002 이하인지 체크하십시오.
wp plugin list --status=active | grep -E 'wp-photo-album-plus'