🇰🇷 한글 설명
Image Photo Gallery Final Tiles Grid WordPress 플러그인 3.6.16 미만 버전에서 갤러리 라이트박스 설정값이 인라인 스크립트에 출력될 때 적절히 이스케이프되지 않는 취약점이 존재합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 자바스크립트를 삽입하여 관리자를 포함한 갤러리 방문자의 브라우저에서 코드를 실행할 수 있습니다.
💡 쉬운 설명
플러그인 설정값에 악성 코드를 숨겨 넣을 수 있는 보안 구멍이 발견되었습니다. 글 작성 권한이 있는 사람이 몰래 나쁜 코드를 심으면, 해당 페이지를 보는 관리자의 계정을 탈취할 수도 있습니다.
🇺🇸 원문 (English)
The Image Photo Gallery Final Tiles Grid WordPress plugin before 3.6.16 does not escape gallery lightbox configuration values before printing them into an inline script on every page that embeds the gallery, allowing users with contributor-level access and above to store JavaScript that executes in the browser of anyone who views the gallery, including administrators.
📍 영향받는 시스템
Image Photo Gallery Final Tiles Grid WordPress plugin version < 3.6.16
⚔️ 공격 벡터
기여자 이상의 권한을 가진 사용자가 갤러리 설정값에 악성 자바스크립트를 삽입하여 실행
🛡️ 대응 방법
Image Photo Gallery Final Tiles Grid 플러그인을 최신 버전(3.6.16 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 플러그인 버전이 3.6.16 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'image-photo-gallery-final-tiles-grid'