🇰🇷 한글 설명
WordPress의 Stripe Payments 플러그인 2.0.40 미만 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 currency_code 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 설정을 확인할 때 해당 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
해커가 결제 설정값에 몰래 악성 코드를 심어둘 수 있는 보안 약점입니다. 관리자가 설정 화면을 열기만 해도 해커가 관리자의 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
WordPress Plugin Stripe Payments before 2.0.40 contains a stored cross-site scripting vulnerability that allows authenticated attackers to inject malicious scripts through the AcceptStripePayments-settings[currency_code] parameter. Attackers can submit POST requests to /wp-admin/options.php with script payloads in the currency_code field to execute arbitrary JavaScript in administrator browsers when settings are viewed.
📍 영향받는 시스템
WordPress Stripe Payments plugin version < 2.0.40
⚔️ 공격 벡터
인증된 사용자가 /wp-admin/options.php로 악성 페이로드가 포함된 POST 요청을 전송
🛡️ 대응 방법
Stripe Payments 플러그인을 2.0.40 이상 버전으로 즉시 업데이트
🔧 검증 코드
출력된 버전 번호가 2.0.40보다 낮으면 취약한 상태입니다.
wp-cli plugin list --name=stripe-payments --field=version