🇰🇷 한글 설명
Real3D Flipbook WordPress 플러그인 5.4 미만 버전에서 관리자 편집기 필드에 대한 데이터 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 작성자(Author) 이상의 권한을 가진 사용자가 악성 웹 스크립트를 삽입할 수 있으며, 관리자를 포함한 다른 사용자가 해당 플립북을 편집할 때 스크립트가 실행됩니다.
💡 쉬운 설명
플러그인 설정 칸에 몰래 악성 코드를 심어두는 공격입니다. 나중에 관리자가 해당 설정을 열어보는 순간, 관리자의 권한을 탈취당할 수 있습니다.
🇺🇸 원문 (English)
The Real3D Flipbook WordPress plugin before 5.4 does not sanitize or escape several flipbook editor fields before rendering them back in the admin editor, allowing users with the Author role and above to inject arbitrary web scripts that execute in the browser of any user who later opens the affected flipbook for editing, including administrators.
📍 영향받는 시스템
Real3D Flipbook WordPress plugin version < 5.4
⚔️ 공격 벡터
권한이 있는 사용자(Author 이상)가 편집기 필드에 악성 스크립트를 삽입하여 관리자의 브라우저에서 실행되도록 유도하는 Stored XSS
🛡️ 대응 방법
Real3D Flipbook 플러그인을 최신 버전(5.4 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 5.4 미만인지 확인하십시오.
wp plugin list --allow-root | grep -i 'real3d-flipbook'