🇰🇷 한글 설명
Otter Blocks WordPress 플러그인 3.2.8 이전 버전은 블록 렌더링 중 동적 콘텐츠 토큰을 재작성하는 패턴의 범위를 올바르게 제한하지 않습니다. 이로 인해 HTML 속성을 닫는 따옴표가 소비되고, 인접한 이스케이프되지 않은 데이터가 새로운 속성으로 마크업에 삽입될 수 있습니다. 인증되지 않은 사용자가 이를 악용해 저장형 XSS를 일으킬 수 있으며, 영향받는 페이지를 보는 모든 방문자(로그인한 관리자 포함)의 브라우저에서 스크립트가 실행됩니다.
💡 쉬운 설명
이 플러그인의 결함을 이용하면 누구나 웹사이트 페이지에 악성 코드를 심을 수 있습니다. 그 페이지를 방문한 사람, 특히 관리자의 브라우저에서 해당 코드가 몰래 실행될 수 있습니다.
🇺🇸 원문 (English)
The Otter Blocks WordPress plugin before 3.2.8 does not correctly bound a pattern it uses to rewrite its dynamic-content tokens while rendering blocks, so the pattern can consume the quote that closes an HTML attribute and pull adjacent unescaped data into the markup as new attributes. This allows unauthenticated users to achieve stored Cross-Site Scripting that executes in the browser of any visitor who views an affected page, including a logged-in administrator.
📍 영향받는 시스템
Otter Blocks WordPress 플러그인 3.2.8 미만 버전
⚔️ 공격 벡터
인증 없이 조작된 블록 콘텐츠를 입력해 속성 경계를 깨뜨리고, 저장된 스크립트가 방문자 브라우저에서 실행되도록 유도
🛡️ 대응 방법
Otter Blocks 플러그인을 3.2.8 이상으로 즉시 업데이트
🔧 검증 코드
출력된 버전이 3.2.8 미만이면 취약하므로 즉시 업데이트가 필요하며, 명령이 결과를 내지 않으면 플러그인이 설치되어 있지 않은 것입니다.
wp plugin list --name=otter-blocks --field=version 2>/dev/null