🇰🇷 한글 설명
Rank Math SEO WordPress 플러그인 1.0.280 미만 버전에서 저장된 리다이렉션 소스 값이 관리자 목록 보기에서 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이를 통해 리다이렉션을 관리할 수 있는 사용자가 악성 자바스크립트를 저장하면, 이후 해당 페이지를 열람하는 슈퍼 관리자 등의 세션에서 코드가 실행될 수 있습니다.
💡 쉬운 설명
플러그인 설정에 몰래 악성 코드를 심어두면, 관리자가 관리자 페이지를 열 때마다 해커가 의도한 동작이 자동으로 실행될 수 있는 보안 약점입니다. 관리자 권한을 탈취당할 위험이 있으므로 주의가 필요합니다.
🇺🇸 원문 (English)
The Rank Math SEO WordPress plugin before 1.0.280 does not escape a stored redirection source value before outputting it in an administrative list view, allowing users who can manage redirections (Administrators by default) to store JavaScript that executes in the session of any user who later opens that view, including a Super Administrator on multisite.
📍 영향받는 시스템
Rank Math SEO WordPress plugin version < 1.0.280
⚔️ 공격 벡터
리다이렉션 관리 권한을 가진 사용자가 악성 자바스크립트가 포함된 소스 값을 저장하여 관리자 페이지 방문 시 실행 유도
🛡️ 대응 방법
Rank Math SEO 플러그인을 최신 버전(1.0.280 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 rank-math-seo의 버전이 1.0.280 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'rank-math-seo'