🇰🇷 한글 설명
WordPress용 RSS Aggregator by Feedzy 플러그인의 5.2.12 이하 버전에는 피드 가져오기 과정의 media:group/media:description XML 요소에서 입력값 검증과 출력 이스케이프가 부족하여 저장형 크로스사이트 스크립팅(XSS)이 발생합니다. 공격자가 조작한 피드를 관리자가 가져오면 악성 스크립트가 게시물에 저장되어 사용자가 해당 페이지를 열 때 실행될 수 있습니다.
💡 쉬운 설명
공격자가 만든 악성 RSS 피드를 관리자가 이 플러그인으로 가져오면, 그 안의 나쁜 코드가 웹사이트 페이지에 저장됩니다. 이후 방문자가 그 페이지를 열면 코드가 실행되어 정보가 탈취될 수 있습니다.
🇺🇸 원문 (English)
The RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'media:group/media:description (XML element in the imported feed)' parameter in all versions up to, and including, 5.2.12 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires an administrator to configure a Feed-to-Post import pointing at an attacker-controlled feed URL and trigger the import via the Run Now action or setup wizard, which is the plugin's standard configuration flow.
📍 영향받는 시스템
WordPress용 RSS Aggregator by Feedzy 플러그인 5.2.12 이하 모든 버전
⚔️ 공격 벡터
공격자가 악성 media:description이 포함된 피드를 준비하고, 관리자가 해당 URL로 Feed-to-Post 가져오기를 실행하면 스크립트가 게시물에 저장되어 방문자 브라우저에서 실행됨
🛡️ 대응 방법
플러그인을 5.2.13 이상(패치된 버전)으로 업데이트하고, 신뢰할 수 없는 피드 URL을 가져오지 않도록 관리합니다.
🔧 검증 코드
출력된 버전이 5.2.12 이하이면 취약하므로 5.2.13 이상으로 업데이트가 필요하며, 명령이 실패하면 플러그인 경로를 직접 확인해야 합니다.
wp plugin get feedzy-rss-feeds --field=version 2>/dev/null || grep -m1 "Version:" wp-content/plugins/feedzy-rss-feeds/feedzy-rss-feeds.php