🇰🇷 한글 설명
WordPress Soliloquy Lite 2.5.6 버전에서 인증된 공격자가 게시물 제목 필드에 악성 스크립트를 삽입할 수 있는 지속성 XSS 취약점이 발견되었습니다. 공격자가 게시물 편집 엔드포인트로 POST 요청을 보내면 스크립트가 저장되며, 사용자가 해당 게시물을 미리 볼 때 실행됩니다.
💡 쉬운 설명
로그인이 가능한 사용자가 게시물 제목에 몰래 악성 코드를 심어둘 수 있는 문제입니다. 관리자가 해당 글을 확인하려고 하면 심어진 코드가 실행되어 개인정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
WordPress Soliloquy Lite 2.5.6 contains a persistent cross-site scripting vulnerability that allows authenticated attackers to inject malicious scripts by inserting script tags in the post title field. Attackers can submit POST requests to the post editing endpoint with script payloads in the post_title parameter, which are stored and executed when users preview the post.
📍 영향받는 시스템
WordPress Soliloquy Lite 2.5.6 이하 버전
⚔️ 공격 벡터
인증된 사용자가 게시물 편집 시 post_title 파라미터에 스크립트 페이로드를 포함한 POST 요청 전송
🛡️ 대응 방법
Soliloquy Lite 플러그인을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 soliloquy-lite의 버전이 2.5.6 이하인지 확인
wp-cli plugin list --allow-root | grep -E 'soliloquy-lite'