🇰🇷 한글 설명
WordPress 플러그인 BuddyPress 6.2.0 버전에서 지속성 XSS 취약점이 발견되었습니다. 권한을 가진 모더레이터가 wp:html 블록의 figure 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 이를 통해 관리자의 세션을 탈취하거나 피싱 공격을 수행할 수 있습니다.
💡 쉬운 설명
플러그인을 사용하는 관리자 권한을 가진 사람이 몰래 악성 코드를 심어둘 수 있는 문제입니다. 관리자가 해당 페이지를 보는 순간 해커가 관리자의 계정 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
WordPress Plugin Buddypress 6.2.0 contains a persistent cross-site scripting vulnerability that allows authenticated attackers with moderator privileges to inject malicious script code through the figure parameter in wp:html blocks. Attackers can inject iframe elements with event handlers like onload that execute when administrators or privileged users preview or view the affected page content, enabling session hijacking and persistent phishing attacks.
📍 영향받는 시스템
WordPress BuddyPress Plugin version 6.2.0 and below
⚔️ 공격 벡터
모더레이터 권한을 가진 공격자가 wp:html 블록의 figure 파라미터에 악성 iframe 및 이벤트 핸들러 삽입
🛡️ 대응 방법
BuddyPress 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 buddypress의 버전이 6.2.0 이하인지 확인하십시오.
wp plugin list --allow-root | grep -i 'buddypress'