🇰🇷 한글 설명
Qi Addons For Elementor 워드프레스 플러그인 1.11.2 이전 버전은 위젯 제목 텍스트의 HTML 엔티티를 디코딩한 후 적절히 정제하지 않습니다. 이로 인해 Contributor 이상 권한의 사용자가 WordPress가 원래 제거했을 실시간 HTML 폼(외부 호스트로 제출되는 비밀번호 필드 포함)을 게시물에 삽입할 수 있습니다.
💡 쉬운 설명
글쓰기 권한이 있는 사용자가 게시글에 로그인 입력창 같은 가짜 폼을 몰래 넣을 수 있는 문제입니다. 방문자가 이 폼에 비밀번호를 입력하면 공격자의 외부 서버로 정보가 전송될 수 있습니다.
🇺🇸 원문 (English)
The Qi Addons For Elementor WordPress plugin before 1.11.2 does not properly sanitise a widget's heading text after decoding HTML entities in it, allowing users with the Contributor role and above to embed live HTML forms, including password fields that submit to an external host, into posts where WordPress would otherwise strip them.
📍 영향받는 시스템
Qi Addons For Elementor 플러그인 1.11.2 미만 버전이 설치된 WordPress 사이트
⚔️ 공격 벡터
Contributor 이상 권한 계정으로 위젯 제목에 HTML entity로 인코딩된 폼 코드를 삽입해 게시물에 피싱 폼을 생성
🛡️ 대응 방법
Qi Addons For Elementor 플러그인을 1.11.2 이상으로 업데이트하고, 불필요한 Contributor 이상 계정 권한을 점검
🔧 검증 코드
출력된 버전이 1.11.2 미만이면 취약하며, 1.11.2 이상이면 패치가 적용된 것입니다.
wp plugin get qi-addons-for-elementor --field=version 2>/dev/null || grep -i 'Version:' wp-content/plugins/qi-addons-for-elementor/*.php 2>/dev/null | head -1