🇰🇷 한글 설명
WordPress 테마 Wibar 1.1.8의 Brand 컴포넌트에서 저장형 XSS 취약점이 발견되었습니다. 권한을 가진 사용자가 Logo URL 매개변수를 조작하여 악성 스크립트를 삽입할 수 있으며, 이를 통해 브랜드 페이지 방문자에게 임의의 자바스크립트를 실행시킬 수 있습니다.
💡 쉬운 설명
테마 설정 메뉴에 악성 코드를 몰래 저장해두는 방식의 공격입니다. 편집자 이상의 권한을 가진 사람이 나쁜 코드를 심어두면, 해당 페이지를 보는 다른 사용자들의 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
WordPress Theme Wibar 1.1.8 contains a stored cross-site scripting vulnerability in the Brand component that allows authenticated users to inject malicious scripts by manipulating the Logo URL parameter. Attackers with editor, administrator, contributor, or author privileges can inject base64-encoded script payloads through the ftc_brand_url input field to execute arbitrary JavaScript when users visit the brand page.
📍 영향받는 시스템
WordPress Theme Wibar 1.1.8
⚔️ 공격 벡터
ftc_brand_url 입력 필드에 base64로 인코딩된 악성 스크립트 페이로드 주입
🛡️ 대응 방법
해당 테마를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 권한이 낮은 사용자의 테마 설정 접근을 제한하십시오.
🔧 검증 코드
명령어 결과에 버전 1.1.8이 포함되어 있다면 해당 취약점에 노출된 상태입니다.
wp plugin list --name wibar --format=json | grep -E '"version":"1.1.8"'