🇰🇷 한글 설명
WordPress용 The Events Manager 플러그인 7.3.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 이벤트 속성 값을 저장할 때 입력값 검증이 부족하고 출력 시 이스케이프 처리가 되지 않아, 공격자가 악성 스크립트를 삽입할 수 있습니다.
💡 쉬운 설명
이벤트 정보를 입력할 때 악성 코드를 몰래 끼워 넣을 수 있는 보안 약점이 있습니다. 이 코드가 포함된 페이지를 다른 사용자가 방문하면 공격자가 의도한 동작이 실행될 수 있습니다.
🇺🇸 원문 (English)
The Events Manager - Calendar, Bookings, Tickets, and more! plugin for WordPress is vulnerable to Stored Cross-Site Scripting via event attribute values in all versions up to, and including, 7.3.3. This is due to insufficient input sanitization when storing attribute values (using only `wp_unslash()` without sanitization) and lack of output escaping when rendering the '#_ATT{key}' placeholder. This makes it possible for authenticated attackers, with Author-level access and above, or unauthenticated attackers when anonymous event submissions are enabled, to inject arbitrary web scripts that execute when any user views the affected event page.
📍 영향받는 시스템
The Events Manager WordPress plugin (version 7.3.3 and below)
⚔️ 공격 벡터
권한이 있는 사용자(작성자 이상) 또는 익명 이벤트 제출이 활성화된 경우 이벤트 속성 값에 악성 스크립트 삽입
🛡️ 대응 방법
The Events Manager 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 'events-manager'를 확인하고 설치된 버전을 체크하여 7.3.3 이하인지 확인합니다.
wp plugin list --status=active | grep -i 'events-manager'