🇰🇷 한글 설명
WordPress 테마인 Zoner Real Estate 4.1.1 버전에서 인증된 에이전트가 주소 입력 필드를 통해 악성 스크립트를 삽입할 수 있는 지속성 XSS 취약점이 발견되었습니다. 공격자가 삽입한 자바스크립트는 관리자가 속성 승인을 위해 해당 내용을 확인할 때 실행되어 쿠키 탈취 및 세션 하이재킹을 유발할 수 있습니다.
💡 쉬운 설명
부동산 사이트의 에이전트가 주소창에 몰래 악성 코드를 적어 넣을 수 있는 문제입니다. 관리자가 그 주소를 확인하는 순간, 관리자의 로그인 정보가 해커에게 넘어갈 수 있습니다.
🇺🇸 원문 (English)
WordPress Theme Zoner Real Estate 4.1.1 contains a persistent cross-site scripting vulnerability that allows authenticated agents to inject malicious scripts through the Address input field when creating properties. Attackers can inject JavaScript payloads in the property creation form that execute when administrators view the property for approval, enabling cookie theft and session hijacking.
📍 영향받는 시스템
WordPress Theme Zoner Real Estate 4.1.1
⚔️ 공격 벡터
인증된 에이전트가 속성 생성 시 주소(Address) 입력 필드에 악성 자바스크립트 페이로드 삽입
🛡️ 대응 방법
해당 테마를 최신 보안 패치가 적용된 버전으로 업데이트하거나 입력값 검증 로직을 강화해야 함
🔧 검증 코드
출력된 결과에서 해당 테마의 버전이 4.1.1인지 확인하여 취약 여부를 판단합니다.
wp-cli plugin list --allow-root | grep -i 'zoner-real-estate'