🇰🇷 한글 설명
WordPress용 Calculated Fields Form 플러그인 5.5.1.3 버전 이하에서 Reflected DOM-Based XSS 취약점이 발견되었습니다. 공격자가 조작된 URL 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 사용자가 특정 링크를 클릭하도록 유도할 경우 실행될 수 있습니다.
💡 쉬운 설명
해커가 만든 특수한 링크를 클릭하면 웹사이트 내에서 몰래 악성 코드가 실행될 수 있는 보안 약점입니다. 주로 폼(양식) 설정 중 특정 기능이 활성화되어 있을 때 발생합니다.
🇺🇸 원문 (English)
The Calculated Fields Form – AI Form Builder for WordPress – Contact, Payment, Quote, Quiz & More plugin for WordPress is vulnerable to Reflected DOM-Based Cross-Site Scripting via the 'x (attacker-chosen name matching the form's url.<name> predefined value)' parameter in all versions up to, and including, 5.5.1.3 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. Exploitation requires that the targeted form has a Text Area field configured with a 'url.<name>' Predefined Value and predefinedClick disabled, which is a documented and commonly used plugin feature.
📍 영향받는 시스템
Calculated Fields Form 플러그인 5.5.1.3 및 그 이전의 모든 버전
⚔️ 공격 벡터
공격자가 조작된 'x' 파라미터가 포함된 URL을 사용자에게 클릭하도록 유도하는 방식
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 취약한 설정(Text Area 필드의 url.<name> 값 사용 및 predefinedClick 비활성화)을 검토하십시오.
🔧 검증 코드
출력된 결과에서 플러그인 버전이 5.5.1.3 이하인지 확인하십시오.
wp plugin list --name='calculated-fields-form' --format=csv | grep -E 'calculated-fields-form'