🇰🇷 한글 설명
GPTranslate WordPress 플러그인 2.34.14 미만 버전에서 번역 저장 권한 제한 및 출력 시 이스케이프 처리가 미흡한 취약점이 발견되었습니다. 이로 인해 서버 측 번역 기능이 활성화된 경우, 인증되지 않은 공격자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
누구나 웹사이트의 번역 내용을 마음대로 바꿀 수 있는 보안 구멍이 있습니다. 공격자가 악성 코드를 번역문에 심어두면, 해당 페이지를 방문하는 다른 사용자들의 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
The GPTranslate WordPress plugin before 2.34.14 does not properly restrict who can store translations, and does not escape them when outputting them in translated pages, allowing unauthenticated users to perform Stored Cross-Site Scripting attacks when server-side translations are enabled.
📍 영향받는 시스템
GPTranslate WordPress plugin versions prior to 2.34.14
⚔️ 공격 벡터
인증되지 않은 사용자가 악성 스크립트가 포함된 번역 데이터를 서버에 저장하여 실행시키는 방식
🛡️ 대응 방법
GPTranslate 플러그인을 최신 버전인 2.34.14 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.34.14보다 낮으면 취약한 상태입니다.
wp plugin list --status=active | grep -i 'gptranslate' && wp plugin list --all --format=json | jq -r '.[] | select(.name=="gptranslate") | .version'