🇰🇷 한글 설명
WordPress용 All in One SEO 플러그인 5.0.2 이하 버전에서 임의의 숏코드 실행 취약점이 발견되었습니다. 이 취약점은 입력값 검증 미흡으로 인해 발생하며, 공격자가 인증 없이 악성 숏코드를 실행할 수 있게 합니다. 단, 검색 결과 페이지에 AIOSEO 브레드크럼이 렌더링되는 환경에서만 공격이 가능합니다.
💡 쉬운 설명
웹사이트의 SEO를 도와주는 플러그인에 보안 구멍이 있어, 해커가 몰래 특수한 명령어를 심어 넣을 수 있습니다. 이 명령어가 실행되면 웹사이트의 정보를 조작하거나 원치 않는 동작을 유발할 수 있습니다.
🇺🇸 원문 (English)
The The All in One SEO – AI SEO Plugin to Boost SEO Rankings & Traffic (Schema, Local SEO, Sitemap & SEO Insights) plugin for WordPress is vulnerable to arbitrary shortcode execution in all versions up to, and including, 5.0.2 This is due to the software allowing users to execute an action that does not properly validate a value before running do_shortcode. This makes it possible for unauthenticated attackers to execute arbitrary shortcodes. This requires the AIOSEO breadcrumb to be rendered on the search results page via the block, widget, shortcode, or template tag.
📍 영향받는 시스템
All in One SEO – AI SEO Plugin for WordPress (버전 5.0.2 및 그 이하 모든 버전)
⚔️ 공격 벡터
검색 결과 페이지에 브레드크럼이 표시되는 경우, 검증되지 않은 값을 통해 임의의 숏코드를 실행하는 방식
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 취약점이 해결된 패치를 적용하십시오.
🔧 검증 코드
출력된 버전 번호가 5.0.2와 같거나 그보다 낮은지 확인하십시오.
wp plugin list --name all-in-one-seo-pack --format=json | grep -oP '(?<=<version>)[^<]+(?=</version>)'