Advanced Custom Fields: Extended PRO 원격 코드 실행 취약점
워드프레스 사이트 플러그인이라 로그인 없이 사이트를 장악당할 수 있습니다!
요약
워드프레스 플러그인 Advanced Custom Fields: Extended PRO의 render_field 함수에서 검증이 부족해, 로그인하지 않은 공격자가 워드프레스 함수를 임의 인수로 호출할 수 있습니다. 0.9.2.6 이하 모든 버전이 해당하며, 관리자가 기본값이 아닌 shortcode_preview 설정을 켰거나 서버에 OpenSSL 함수가 없는 경우 공격이 가능합니다.
해당 조건
- 비기본 설정 shortcode_preview 활성화
- 서버에 OpenSSL 함수 없음
대처법
플러그인이 0.9.2.6보다 새 버전인지 확인하고, 제작사 공지를 읽으세요. 고정 버전은 출처에 나와 있지 않습니다.
대상 제품과 운영체제
CVE 번호
원문 링크
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인