🇰🇷 한글 설명
WordPress용 WPeMatico RSS Feed Fetcher 플러그인 2.9 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 관리자가 구독한 RSS 피드에 악성 스크립트가 포함될 경우, 플러그인이 보안 필터를 해제하고 콘텐츠를 그대로 저장하여 사용자가 해당 게시물을 볼 때 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
RSS 피드를 통해 들어오는 글을 검사하지 않고 그대로 저장하는 보안 허점이 있습니다. 공격자가 조작한 RSS 피드를 구독하게 만들면, 관리자나 사용자의 브라우저에서 악성 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
The WPeMatico RSS Feed Fetcher plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 2.9 This is due to the plugin removing WordPress's wp_filter_post_kses filter from content_save_pre immediately before calling wp_insert_post() with RSS feed content, whenever the campaign's last editor had the unfiltered_html capability — a flag the plugin sets automatically for every admin-saved campaign. Imported item content is taken raw from $item->get_content(), only entity-decoded, and stored verbatim in post_content. This makes it possible for unauthenticated attackers, who publish or compromise an RSS feed that an administrator has subscribed a WPeMatico campaign to, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected imported post.
📍 영향받는 시스템
WPeMatico RSS Feed Fetcher plugin for WordPress (버전 2.9 이하)
⚔️ 공격 벡터
공격자가 조작된 악성 스크립트가 포함된 RSS 피드를 배포하고, 관리자가 이를 WPeMatico 캠페인으로 구독하도록 유도함
🛡️ 대응 방법
플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하거나, 신뢰할 수 없는 RSS 피드 구독을 제한함
🔧 검증 코드
출력된 결과에서 WPeMatico 플러그인의 버전이 2.9 이하인지 확인합니다.
wp plugin list --status=active | grep -i 'wpe-matico' && wp plugin list --all | grep -E 'wpe-matico' | awk '{print $2, $3}'