🇰🇷 한글 설명
Nexter Blocks WordPress 플러그인 5.0.2 미만 버전에서 SVG 파일 업로드 시 적절한 검증이 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 파일을 업로드할 수 있는 권한을 가진 사용자가 악성 자바스크립트가 포함된 SVG 파일을 업로드하여 저장형 XSS 공격을 수행할 수 있습니다.
💡 쉬운 설명
이미지 파일인 SVG에 몰래 악성 코드를 숨겨서 올릴 수 있는 문제입니다. 누군가 이 파일을 클릭하면 웹사이트 관리자의 정보를 훔치거나 사이트를 조작할 수 있습니다.
🇺🇸 원문 (English)
The Nexter Blocks WordPress plugin before 5.0.2 does not sanitize uploaded SVG files and allows SVG uploads for any user able to upload files (Author by default), allowing them to upload a file containing malicious JavaScript that executes when the file is accessed, leading to Stored Cross-Site Scripting.
📍 영향받는 시스템
Nexter Blocks WordPress plugin version < 5.0.2
⚔️ 공격 벡터
파일 업로드 권한을 가진 사용자가 악성 스크립트가 포함된 SVG 파일을 업로드하여 실행 유도
🛡️ 대응 방법
Nexter Blocks 플러그인을 최신 버전인 5.0.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 nexter-blocks의 버전이 5.0.2 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'nexter-blocks'