🇰🇷 한글 설명
Firelight Lightbox WordPress 플러그인 2.3.24 이전 버전은 이미지 속성 값을 브라우저에서 처리하기 전에 제대로 이스케이프하지 않습니다. 이로 인해 기여자(Contributor) 이상 권한을 가진 사용자가 임의의 웹 스크립트를 삽입할 수 있으며, 해당 콘텐츠를 다른 사용자가 보거나 미리보기할 때 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
워드프레스 사이트에서 글을 쓸 수 있는 사용자가 이미지 설정에 악성 코드를 숨길 수 있습니다. 다른 사람이 해당 글을 보면 그 코드가 몰래 실행됩니다.
🇺🇸 원문 (English)
The Firelight Lightbox WordPress plugin before 2.3.24 does not properly escape image attribute values before processing them in the browser, which could allow users with contributor-level access and above to inject arbitrary web scripts that execute when another user views or previews the affected content.
📍 영향받는 시스템
Firelight Lightbox WordPress 플러그인 2.3.24 이전 버전
⚔️ 공격 벡터
기여자 이상 권한의 사용자가 이미지 속성에 악성 스크립트를 삽입하고, 다른 사용자가 해당 콘텐츠를 열람하거나 미리보기할 때 XSS가 실행됨
🛡️ 대응 방법
Firelight Lightbox 플러그인을 2.3.24 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 2.3.24 미만이면 취약하며, 2.3.24 이상이면 패치가 적용된 것입니다.
wp plugin get firelight-lightbox --field=version 2>/dev/null || grep -h 'Version:' wp-content/plugins/firelight-lightbox/*.php 2>/dev/null | head -1