🇰🇷 한글 설명
WordPress의 편집기에서 인증된 저권한 사용자가 XSS(교차 사이트 스크립팅)를 실행할 수 있는 취약점입니다. 이 취약점은 'unfiltered_html' 권한이 없는 사용자의 제한 사항을 우회하여 악성 스크립트를 삽입할 수 있게 합니다.
💡 쉬운 설명
글쓰기 권한이 낮은 사용자가 웹사이트에 몰래 악성 코드를 심을 수 있는 보안 구멍입니다. 이를 통해 다른 사용자의 정보를 훔치거나 사이트를 변조할 위험이 있습니다.
🇺🇸 원문 (English)
WordPress is a free and open-source content management system written in PHP and paired with a MySQL or MariaDB database. ### Impact The issue allows an authenticated but low-privileged user (like contributor/author) to execute XSS in the editor. This bypasses the restrictions imposed on users who do not have the permission to post `unfiltered_html`. ### Patches This has been patched in WordPress 5.8, and will be pushed to older versions via minor releases (automatic updates). It's strongly recommended that you keep auto-updates enabled to receive the fix. ### References https://wordpress.org/news/category/releases/ https://hackerone.com/reports/1142140 ### For more information If you have any questions or comments about this advisory: * Open an issue in [HackerOne](https://hackerone.com/wordpress)
📍 영향받는 시스템
WordPress 5.8 미만 버전
⚔️ 공격 벡터
저권한 사용자가 편집기를 통해 제한된 HTML 태그나 스크립트를 삽입하여 실행
🛡️ 대응 방법
WordPress를 최신 버전(5.8 이상)으로 업데이트하거나 자동 업데이트 활성화
🔧 검증 코드
출력된 버전 번호가 5.8 미만인 경우 해당 취약점에 노출된 상태입니다.
curl -s https://wordpress.org/version.php | grep -E 'version'