🇰🇷 한글 설명
WordPress용 Hero Maps Premium 플러그인 2.2.1 및 이전 버전에서 인증되지 않은 사용자가 XSS 공격을 수행할 수 있는 취약점이 발견되었습니다. views/dashboard/index.php의 p 파라미터가 사용자 입력값을 충분히 검증하지 않아 발생하며, 공격자는 이를 통해 악성 스크립트를 삽입할 수 있습니다. 이를 통해 사용자의 쿠키 토큰을 탈취하거나 사이트 내에서 다른 공격을 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 주소창에 악성 코드를 입력하여 다른 사용자의 정보를 훔칠 수 있는 보안 약점입니다. 공격자가 사용자의 로그인 정보나 개인 데이터를 몰래 가져갈 위험이 있습니다.
🇺🇸 원문 (English)
The Hero Maps Premium plugin 2.2.1 and prior for WordPress is prone to unauthenticated XSS via the views/dashboard/index.php p parameter because it fails to sufficiently sanitize user-supplied input. An attacker may leverage this issue to inject HTML or arbitrary JavaScript within the browser of an unsuspecting user in the context of the affected site. This may allow the attacker to steal cookie-based tokens or to launch other attacks.
📍 영향받는 시스템
WordPress Hero Maps Premium plugin 2.2.1 및 그 이전 버전
⚔️ 공격 벡터
views/dashboard/index.php 파일의 p 파라미터에 악성 스크립트를 삽입하는 방식
🛡️ 대응 방법
Hero Maps Premium 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 hero-maps-premium의 버전이 2.2.1 이하인지 확인하십시오.
wp-cli plugin list --allow-root | grep -E 'hero-maps-premium'