🇰🇷 한글 설명
Image Photo Gallery Final Tiles Grid WordPress 플러그인 3.6.14 미만 버전에서 갤러리 설정값이 적절히 검증되지 않아 발생하는 취약점입니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 숏코드를 통해 악성 자바스크립트를 삽입할 수 있으며, 이는 관리자를 포함한 방문자의 세션에서 실행될 수 있습니다.
💡 쉬운 설명
플러그인의 설정 오류를 이용해 게시물에 몰래 악성 코드를 심는 공격입니다. 이 코드가 실행되면 관리자의 계정을 탈취하거나 사이트를 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
The Image Photo Gallery Final Tiles Grid WordPress plugin before 3.6.14 does not sanitise several gallery configuration values that can be overridden through its gallery shortcode before printing them into an inline script block, allowing users with contributor-level access and above to inject arbitrary JavaScript that executes in the session of anyone viewing the post, including an administrator previewing a pending submission. No gallery ownership is required: any gallery that already exists on the site can be referenced.
📍 영향받는 시스템
Image Photo Gallery Final Tiles Grid WordPress plugin version < 3.6.14
⚔️ 공격 벡터
갤러리 숏코드 내의 설정값을 조작하여 인라인 스크립트 블록에 악성 자바스크립트 주입 (XSS)
🛡️ 대응 방법
해당 플러그인을 최신 버전인 3.6.14 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 3.6.14 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'image-photo-gallery' && wp plugin list --all | grep -E 'image-photo-gallery' | awk '{print $2, $3}'