🇰🇷 한글 설명
WordPress Picture Gallery 1.4.2 버전에서 인증된 공격자가 액세스 제어 설정의 Edit Content URL 필드에 악성 스크립트를 삽입할 수 있는 저장형 XSS 취약점이 발견되었습니다. 공격자가 데이터베이스에 저장된 JavaScript 페이로드를 실행시키면 세션 하이재킹이나 자격 증명 탈취가 가능합니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 설정창에 몰래 악성 코드를 심어두는 취약점입니다. 이 코드가 실행되면 관리자의 로그인 정보를 훔치거나 계정을 탈취할 수 있습니다.
🇺🇸 원문 (English)
WordPress Picture Gallery 1.4.2 contains a stored cross-site scripting vulnerability that allows authenticated attackers to inject malicious scripts through the Edit Content URL field in the Access Control settings. Attackers can enter JavaScript payloads in the plugin options that are stored in the database and executed when the functionality is triggered, enabling session hijacking or credential theft.
📍 영향받는 시스템
WordPress Picture Gallery 1.4.2 이하 버전
⚔️ 공격 벡터
인증된 사용자가 플러그인 설정 내 URL 필드에 악성 JavaScript 페이로드 삽입
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하거나 사용 중단
🔧 검증 코드
출력된 결과에서 picture-gallery 플러그인의 버전이 1.4.2인지 확인
wp plugin list --allow-root | grep -i 'picture-gallery'