🇰🇷 한글 설명
WordPress의 Qi Blocks 플러그인 1.4.3 이하 버전에서 권한 검증 미흡 취약점이 발견되었습니다. `qi-blocks/v1/update-styles` REST API 엔드포인트의 `update_global_styles_callback()` 함수가 입력된 CSS 스타일을 적절히 검증하지 않아, 기여(Contributor) 권한 이상의 사용자가 임의의 CSS를 주입할 수 있습니다. 이를 통해 콘텐츠를 숨기거나 가짜 UI를 띄우고, CSS 인젝션 기법으로 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
워드프레스 플러그인의 보안 허점을 이용해 권한이 있는 사용자가 웹사이트의 디자인을 마음대로 조작할 수 있는 문제입니다. 악의적인 디자인 변경을 통해 사용자에게 가짜 화면을 보여주거나 정보를 빼낼 위험이 있습니다.
🇺🇸 원문 (English)
The Qi Blocks plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 1.4.3. This is due to the plugin storing arbitrary CSS styles submitted via the `qi-blocks/v1/update-styles` REST API endpoint without proper sanitization in the `update_global_styles_callback()` function. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary CSS, which can be used to perform actions such as hiding content, overlaying fake UI elements, or exfiltrating sensitive information via CSS injection techniques.
📍 영향받는 시스템
WordPress Qi Blocks plugin (version 1.4.3 and below)
⚔️ 공격 벡터
인증된 공격자(Contributor 권한 이상)가 REST API 엔드포인트를 통해 악성 CSS 주입
🛡️ 대응 방법
Qi Blocks 플러그인을 최신 버전으로 업데이트하거나 해당 API 엔드포인트에 대한 접근 권한을 제한하십시오.
🔧 검증 코드
출력된 버전 번호가 1.4.3과 같거나 그보다 낮은지 확인하십시오.
wp plugin list --name=qi-blocks --format=json | grep -oP '(?<=version":")[^"]+'