🇰🇷 한글 설명
WordPress의 Base64 Encoder/Decoder 플러그인 0.9.2 이하 버전에서 설정 업데이트 시 CSRF 검증이 누락되어 있습니다. 또한 데이터 정화(Sanitisation) 및 이스케이프 처리가 미흡하여, 공격자가 CSRF 공격을 통해 로그인된 관리자 계정에 저장형 XSS 페이로드를 삽입할 수 있습니다.
💡 쉬운 설명
관리자가 모르는 사이에 악성 코드가 포함된 설정이 변경될 수 있는 보안 취약점입니다. 공격자가 이 취약점을 이용하면 관리자의 권한을 탈취하거나 웹사이트를 변조할 수 있습니다.
🇺🇸 원문 (English)
The Base64 Encoder/Decoder WordPress plugin through 0.9.2 does not have CSRF check when updating its settings, and is missing sanitisation as well as escaping, which could allow attackers to make logged in admin add Stored XSS payloads via a CSRF attack
📍 영향받는 시스템
WordPress Base64 Encoder/Decoder plugin version 0.9.2 and below
⚔️ 공격 벡터
CSRF(교차 사이트 요청 위조)를 통한 설정 변경 및 Stored XSS(저장형 XSS) 공격
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나 사용을 중단하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인 이름과 0.9.2 이하의 버전이 나타나면 취약한 상태입니다.
wp plugin list --name base64-encoder-decoder --format=csv | grep -E 'base64-encoder-decoder,0\.[0-9]|base64-encoder-decoder,0\.9\.2'