🇰🇷 한글 설명
Veeqo for WooCommerce WordPress 플러그인 2.2.8 이하 버전에서 원격 브리지 설치 프로세스의 권한 제한 및 URL 검증 미흡 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 사용자가 공격자가 제어하는 아카이브를 다운로드 및 압축 해제하여 워드프레스 루트 디렉토리에 임의의 PHP 파일을 생성할 수 있습니다.
💡 쉬운 설명
낮은 권한을 가진 사용자라도 악성 파일이 담긴 압축 파일을 웹사이트에 강제로 설치할 수 있는 보안 결함입니다. 공격자가 이 취약점을 이용하면 웹사이트를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
The Veeqo for WooCommerce WordPress plugin through 2.2.8 does not restrict who can trigger its remote bridge-installation process or validate the URL it is given before downloading and extracting it, allowing users with Subscriber-level access and above to make the Veeqo for WooCommerce WordPress plugin through 2.2.8 download and extract an attacker-controlled archive containing arbitrary PHP files into the WordPress root.
📍 영향받는 시스템
Veeqo for WooCommerce WordPress plugin version 2.2.8 and below
⚔️ 공격 벡터
권한이 낮은 사용자가 조작된 URL을 통해 악성 PHP 파일이 포함된 아카이브를 서버에 다운로드 및 압축 해제 유도
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 원격 브리지 설치 기능에 대한 접근 권한을 엄격히 제한하십시오.
🔧 검증 코드
명령어 결과에 Veeqo 플러그인이 나타나면 설치 여부를 확인하고, 설치된 버전이 2.2.8 이하인지 점검하십시오.
wp plugin list --status=active | grep -i 'veeqo'