🇰🇷 한글 설명
WordPress용 FV Flowplayer Video Player 플러그인 7.5.55.7212 이하 버전에는 'fv_player_videos[_fv_player_user_video][]' 매개변수에서 입력값 검증과 출력 이스케이프가 부족해 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 인증된 Subscriber 이상 권한의 공격자가 임의의 웹 스크립트를 삽입할 수 있으며, 해당 페이지를 방문하는 사용자의 브라우저에서 스크립트가 실행됩니다. 이 공격은 관리자가 '방문자의 프로필 동영상 업로드 허용' 설정(profile_videos_enable_bio)을 활성화한 경우에만 가능합니다.
💡 쉬운 설명
회원 등급을 가진 사용자가 동영상 업로드 기능을 악용해 악성 코드를 페이지에 숨길 수 있습니다. 다른 방문자가 그 페이지를 열면 악성 코드가 실행되어 계정 정보가 탈취될 수 있습니다.
🇺🇸 원문 (English)
The FV Flowplayer Video Player plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'fv_player_videos[_fv_player_user_video][]' parameter in all versions up to, and including, 7.5.55.7212 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires an administrator to have enabled the "Allow visitors to upload videos to their profile" (profile_videos_enable_bio) setting before Subscriber-level users can submit profile videos.
📍 영향받는 시스템
FV Flowplayer Video Player 플러그인 7.5.55.7212 이하 버전이 설치된 WordPress 사이트 (프로필 동영상 업로드 기능 활성화 시)
⚔️ 공격 벡터
Subscriber 이상 권한의 인증된 사용자가 프로필 동영상 입력 매개변수에 악성 스크립트를 저장하고, 방문자가 해당 페이지를 열면 스크립트가 실행됨
🛡️ 대응 방법
FV Flowplayer Video Player 플러그인을 7.5.55.7212 초과 버전으로 업데이트하고, 불필요하면 profile_videos_enable_bio 설정을 비활성화
🔧 검증 코드
출력된 버전이 7.5.55.7212 이하이면 취약하므로 업데이트가 필요하고, 7.5.55.7212 초과이면 패치된 버전입니다. 명령어 결과가 없으면 플러그인 경로를 확인하세요.
wp plugin list --name=fv-wordpress-flowplayer --field=version 2>/dev/null || grep -h 'Version:' /var/www/html/wp-content/plugins/fv-wordpress-flowplayer/*.php 2>/dev/null | head -1