🇰🇷 한글 설명
WordPress의 여러 플러그인 및 테마에서 url 매개변수를 통한 반사형 크로스사이트 스크립팅(XSS) 취약점이 발견되었습니다. 입력값 검증과 출력 이스케이프가 부족하여 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 사용자가 링크를 클릭하는 등의 행위를 수행하면 해당 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 기능이 입력된 값을 제대로 걸러내지 않아 악성 코드가 삽입될 수 있습니다. 공격자가 보낸 링크를 사용자가 클릭하면 방문자의 브라우저에서 악성 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
Multiple plugins and/or themes for WordPress are vulnerable to Reflected Cross-Site Scripting via the url parameter in various versions due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.
📍 영향받는 시스템
url 매개변수를 처리하는 취약한 버전의 WordPress 플러그인 및 테마 (정확한 영향 버전은 공지 및 벤더 자료 확인 필요)
⚔️ 공격 벡터
공격자가 url 매개변수에 악성 스크립트를 포함한 링크를 만들어 사용자가 클릭하도록 유도
🛡️ 대응 방법
해당 플러그인 및 테마를 최신 버전으로 업데이트하거나 벤더가 제공하는 보안 패치를 적용
🔧 검증 코드
설치된 플러그인의 버전을 확인하여 취약 버전 목록(벤더 공지 기준)과 비교하며, 취약 버전이면 업데이트가 필요합니다.
wp plugin list --status=active --format=csv 2>/dev/null | grep -i -E 'version|name'