🇰🇷 한글 설명
WP WordPress 플러그인인 NS Maintenance Mode 1.3.1 이하 버전에서 설정값에 대한 검증 및 이스케이프 처리가 미흡한 취약점이 발견되었습니다. 이로 인해 관리자와 같은 높은 권한을 가진 사용자가 unfiltered_html 권한이 제한된 환경(예: 멀티사이트 설정)에서도 저장형 XSS 공격을 수행할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 플러그인 설정에 악성 코드를 심어 다른 사용자에게 실행시킬 수 있는 보안 약점입니다. 일반적인 보안 제한이 걸려 있는 환경에서도 공격이 가능하다는 점이 특징입니다.
🇺🇸 원문 (English)
The NS Maintenance Mode for WP WordPress plugin through 1.3.1 does not sanitise and escape some of its settings, which could allow high privilege users such as admin to perform Stored Cross-Site Scripting attacks even when the unfiltered_html capability is disallowed (for example in multisite setup).
📍 영향받는 시스템
NS Maintenance Mode WordPress plugin version 1.3.1 and below
⚔️ 공격 벡터
권한이 있는 사용자가 플러그인 설정 메뉴를 통해 악성 스크립트를 삽입하는 저장형 XSS 방식
🛡️ 대응 방법
NS Maintenance Mode 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 나타나는 플러그인 버전이 1.3.1 이하인지 확인하십시오.
wp plugin list --allow-root | grep -E 'ns-maintenance-mode'