🇰🇷 한글 설명
Otter Blocks WordPress 플러그인 3.2.8 이전 버전은 사용자가 입력한 블록 스타일링 값을 인라인 스타일시트에 기록하기 전에 적절히 정제 및 이스케이프하지 않습니다. 이로 인해 contributor 이상 권한의 사용자가 임의의 웹 스크립트를 삽입할 수 있으며, 해당 게시물을 조회하는 모든 방문자(관리자 포함)에게서 이 스크립트가 실행됩니다.
💡 쉬운 설명
글을 작성할 권한이 있는 사용자가 게시물에 악성 코드를 숨겨둘 수 있습니다. 이 게시물을 보는 사람은 누구든 (관리자 포함) 그 코드가 자동으로 실행되어 피해를 입을 수 있습니다.
🇺🇸 원문 (English)
The Otter Blocks WordPress plugin before 3.2.8 does not properly sanitize and escape user-supplied block styling values before writing them into an inline stylesheet, allowing users with contributor-level access and above to inject arbitrary web scripts that execute when any visitor, including administrators, views the affected post.
📍 영향받는 시스템
Otter Blocks WordPress 플러그인 3.2.8 미만 버전
⚔️ 공격 벡터
contributor 이상 권한 계정으로 블록 스타일 값에 악성 스크립트를 삽입한 뒤, 피해자가 해당 게시물을 열람할 때 스크립트가 실행됨 (저장형 XSS)
🛡️ 대응 방법
Otter Blocks 플러그인을 3.2.8 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 3.2.8 미만이면 취약하므로 업데이트가 필요하고, 3.2.8 이상이면 패치된 상태이며, 출력이 없으면 플러그인이 설치되어 있지 않은 것입니다.
grep -m1 -i 'Version:' $(find /var/www -path '*otter-blocks*' -name 'otter-blocks.php' 2>/dev/null | head -1) 2>/dev/null