🇰🇷 한글 설명
WordPress의 LazyLoad Plugin(2.4.0 이하 버전)에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발견되었습니다. 공격자가 'comment_content' 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 댓글을 승인할 경우 해당 페이지를 방문하는 사용자에게 스크립트가 실행됩니다.
💡 쉬운 설명
댓글창에 몰래 악성 코드를 숨겨서 작성한 뒤, 관리자가 이를 승인하면 웹사이트 방문자의 정보를 훔치거나 조작할 수 있는 보안 약점입니다. 플러그인이 코드를 처리하는 과정에서 숨겨진 악성 명령어를 실수로 실행 가능한 상태로 만들어버리는 것이 원인입니다.
🇺🇸 원문 (English)
The LazyLoad Plugin – Lazy Load Images, Videos, and Iframes plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'comment_content (rendered inline into the page HTML)' parameter in all versions up to, and including, 2.4.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. WordPress core's wp_kses_data allow-list does not strip the crafted payload on save because it uses only permitted tags and attributes; the event handler is concealed inside a broken attribute region and is only promoted to a real DOM attribute by the plugin's render-time str_replace transformation. Additionally, a site administrator must approve the crafted comment before the payload is served to other visitors.
📍 영향받는 시스템
WordPress LazyLoad Plugin (모든 버전 ~ 2.4.0)
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 댓글 내용을 삽입하고, 관리자가 이를 승인하여 페이지에 렌더링되도록 유도
🛡️ 대응 방법
LazyLoad Plugin을 최신 버전으로 업데이트하거나, 댓글 승인 프로세스를 강화하고 입력값 필터링 설정을 점검하십시오.
🔧 검증 코드
출력된 결과에서 LazyLoad 플러그인의 버전이 2.4.0 이하인지 확인하십시오.
wp-cli plugin list --allow-root | grep -E 'lazyload'