🇰🇷 한글 설명
WordPress용 FV Flowplayer Video Player 플러그인 7.5.55.7212 이하 버전에는 입력값 검증 및 출력 이스케이프가 부족하여 저장형 XSS 취약점이 존재합니다. 관리자가 'Parse Vimeo and YouTube links' 설정을 활성화한 경우, 댓글의 shortcode 속성 'align'을 통해 주입된 스크립트가 해당 페이지를 방문하는 모든 사용자에게 실행될 수 있습니다. 인증되지 않은 공격자도 댓글을 통해 공격이 가능합니다.
💡 쉬운 설명
댓글에 악성 코드를 숨겨 넣으면, 그 페이지를 여는 다른 방문자의 브라우저에서 그 코드가 실행됩니다. 이 기능은 관리자가 특정 설정을 켰을 때만 문제가 됩니다.
🇺🇸 원문 (English)
The FV Flowplayer Video Player plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'comment (shortcode attribute 'align')' parameter in all versions up to, and including, 7.5.55.7212 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires the plugin's 'Parse Vimeo and YouTube links' (parse_comments) setting to be enabled by an administrator, which causes the plugin to register do_shortcode on the comment_text filter, allowing attacker-supplied shortcode attributes stored in comments to be rendered unescaped to all subsequent visitors.
📍 영향받는 시스템
FV Flowplayer Video Player (WordPress 플러그인) 7.5.55.7212 이하 버전, 'parse_comments' 설정 활성화 시
⚔️ 공격 벡터
인증 없이 댓글에 조작된 shortcode 속성(align)을 포함시켜 저장하면, 해당 페이지 방문자에게 악성 스크립트가 실행됨
🛡️ 대응 방법
FV Flowplayer Video Player 플러그인을 7.5.55.7212 초과 최신 버전으로 업데이트하고, 불필요한 경우 'Parse Vimeo and YouTube links' 설정을 비활성화
🔧 검증 코드
출력된 버전이 7.5.55.7212 이하이면 취약하며, 그보다 높은 버전이면 패치된 것입니다. 아무 결과도 없으면 플러그인이 설치되지 않은 것입니다.
wp plugin get fv-wordpress-flowplayer --field=version 2>/dev/null || grep -h 'Version:' /var/www/html/wp-content/plugins/fv-wordpress-flowplayer/*.php 2>/dev/null | head -1