🇰🇷 한글 설명
WordPress 4.1.2 이전 버전에서 MySQL이 strict mode 없이 구성되었을 때, 4바이트 UTF-8 문자나 잘못된 문자를 사용하여 XSS 취약점을 악용할 수 있습니다. 주로 댓글 기능을 통해 임의의 웹 스크립트나 HTML을 주입하여 사용자의 세션을 탈취하거나 악성 콘텐츠를 배포할 수 있습니다.
💡 쉬운 설명
WordPress 댓글에 특수 문자를 넣어서 악의적인 코드를 실행시키는 공격입니다. 웹사이트 방문자들이 피해를 입을 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in WordPress before 4.1.2, when MySQL is used without strict mode, allow remote attackers to inject arbitrary web script or HTML via a (1) four-byte UTF-8 character or (2) invalid character that reaches the database layer, as demonstrated by a crafted character in a comment.
📍 영향받는 시스템
WordPress 4.1.1 이하 (MySQL strict mode 미설정 환경)
⚔️ 공격 벡터
WordPress 댓글 폼에 4바이트 UTF-8 또는 유효하지 않은 문자를 포함한 XSS 페이로드 주입
🛡️ 대응 방법
WordPress를 4.1.2 이상으로 업그레이드하고 MySQL을 strict mode로 설정
🔧 검증 코드
WordPress 버전이 4.1.2 이상이면 취약점 해결됨, 4.1.1 이하면 즉시 업그레이드 필요
grep 'wp_version' $(find /var/www -name 'wp-includes/version.php' 2>/dev/null | head -1) 2>/dev/null | head -1