🇰🇷 한글 설명
WordPress의 Vistered-Little 테마 404.php 파일에서 REQUEST_URI 파라미터를 통한 크로스사이트 스크립팅(XSS) 취약점입니다. 공격자는 악의적인 자바스크립트나 HTML을 주입하여 사용자의 브라우저에서 실행할 수 있으며, 관리자 세션에서 이를 악용하면 PHP 코드 실행까지 가능합니다.
💡 쉬운 설명
WordPress의 특정 테마에서 URL을 통해 악의적인 코드를 삽입할 수 있는 문제입니다. 관리자가 특정 링크를 클릭하면 공격자가 웹사이트를 제어할 수 있게 됩니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in 404.php in the Vistered-Little theme for WordPress allows remote attackers to inject arbitrary web script or HTML via the URI (REQUEST_URI) that accesses index.php. NOTE: this can be leveraged for PHP code execution in an administrative session.
📍 영향받는 시스템
WordPress Vistered-Little 테마 (2007년경 버전)
⚔️ 공격 벡터
공격자가 악의적인 자바스크립트를 포함한 404 에러 페이지 URL을 생성하여 사용자/관리자에게 공유
🛡️ 대응 방법
Vistered-Little 테마를 업데이트하거나 다른 테마로 변경하며, 모든 사용자 입력값을 적절히 필터링 및 이스케이프 처리
🔧 검증 코드
결과가 나오면 해당 테마 파일이 존재하며 REQUEST_URI를 직접 출력하고 있는 것이 확인되면 취약점 존재
grep -r 'REQUEST_URI' /path/to/wordpress/wp-content/themes/ | grep -i 'vistered\|404'