🇰🇷 한글 설명
WordPress adivaha Travel Plugin 2.3 버전에서 인증되지 않은 공격자가 isMobile 파라미터를 조작하여 악성 스크립트를 삽입할 수 있는 반사형 XSS 취약점이 발견되었습니다. 공격자는 /mobile-app/v3/ 엔드포인트의 GET 파라미터에 JavaScript 페이로드를 포함한 악성 URL을 생성하여 피해자의 브라우저에서 임의 코드를 실행하고 세션 토큰이나 자격 증명을 탈취할 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 주소에 악성 코드가 담긴 링크를 만들어 사용자에게 클릭하게 유도하는 공격입니다. 사용자가 이 링크를 누르면 해커가 사용자의 로그인 정보나 개인 정보를 몰래 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
WordPress adivaha Travel Plugin 2.3 contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to inject malicious scripts by manipulating the isMobile parameter. Attackers can craft malicious URLs containing JavaScript payloads in the isMobile GET parameter at the /mobile-app/v3/ endpoint to execute arbitrary code in victims' browsers and steal session tokens or credentials.
📍 영향받는 시스템
WordPress adivaha Travel Plugin 2.3
⚔️ 공격 벡터
/mobile-app/v3/ 경로의 isMobile GET 파라미터에 악성 스크립트를 삽입하는 방식
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하거나 사용을 중단하십시오.
🔧 검증 코드
명령어 결과에 adivaha-travel 플러그인이 표시되고 버전이 2.3인 경우 취약할 수 있습니다.
wp plugin list --name adivaha-travel | grep -E 'adivaha-travel'