🇰🇷 한글 설명
WordPress용 Kirki 플러그인 6.3.1 이하 버전에서 사용자 등록 메타데이터를 통한 저장형 XSS 취약점이 발견되었습니다. `ExceptionalElements::image_element()` 함수 내에서 사용자 메타값을 적절히 이스케이프하지 않고 이미지 태그 속성에 직접 결합하기 때문에 발생합니다. 공격자는 이를 통해 악성 스크립트를 삽입하여 사용자가 해당 페이지를 방문할 때 스크립트가 실행되도록 유도할 수 있습니다.
💡 쉬운 설명
웹사이트 회원가입 시 입력한 정보를 악용해 해커가 몰래 나쁜 코드를 심어두는 보안 구멍입니다. 이 코드는 다른 사용자가 해당 페이지를 볼 때 자동으로 실행되어 개인정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
The Kirki – Freeform Page Builder, Website Builder & Customizer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via registration metadata in all versions up to, and including, 6.3.1 This is due to insufficient escaping in `ExceptionalElements::image_element()`, which concatenates a user-meta value straight into an `<img src="…">` attribute. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that execute whenever a user accesses a page rendering a Kirki users collection whose image element is bound to one of the nine registration meta fields. Requires public user registration to be enabled and a published page carrying a `kirki-register` element, which prints the required element nonce into the public markup.
📍 영향받는 시스템
Kirki – Freeform Page Builder, Website Builder & Customizer plugin (버전 6.3.1 및 그 이하 모든 버전)
⚔️ 공격 벡터
공개 회원가입이 활성화된 상태에서 등록 메타데이터 필드에 악성 스크립트를 삽입하여 공격
🛡️ 대응 방법
Kirki 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 kirki 플러그인이 나타나면 설치된 것이며, 설치된 버전이 6.3.1 이하인지 확인해야 합니다.
wp plugin list --allow-root | grep -i 'kirki'