🇰🇷 한글 설명
LatePoint 워드프레스 플러그인(5.7.6 이하)에서 customer[email] 파라미터의 입력 검증과 출력 이스케이프가 부족하여 저장형 XSS가 발생합니다. 인증되지 않은 공격자가 공개 예약 폼을 통해 고객으로 등록한 뒤 악성 스크립트가 포함된 이메일을 저장시킬 수 있습니다.
💡 쉬운 설명
예약 프로그램 플러그인의 이메일 입력란에 악성 코드를 숨겨 넣을 수 있습니다. 다른 사용자가 해당 페이지를 열면 그 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'customer[email] (inside params)' parameter in all versions up to, and including, 5.7.6 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. An unauthenticated visitor can exploit this by registering as a LatePoint customer via the public booking form — receiving an active customer session with no WordPress account — and then submitting a quoted local-part email address containing an HTML payload (e.g. a tag with no spaces) that passes FILTER_VALIDATE_EMAIL but is stored and rendered unescaped.
📍 영향받는 시스템
WordPress용 LatePoint 플러그인 5.7.6 이하 버전
⚔️ 공격 벡터
비로그인 사용자가 공개 예약 폼으로 고객 등록 후 HTML 페이로드가 든 이메일을 제출해 저장형 XSS를 유발
🛡️ 대응 방법
LatePoint 플러그인을 5.7.6 초과의 패치된 버전으로 업데이트하고, 업데이트 전까지 해당 기능을 비활성화하거나 WAF로 차단
🔧 검증 코드
출력된 버전 번호가 5.7.6 이하이면 취약한 버전이므로 업데이트가 필요하며, 결과가 없으면 플러그인이 설치되지 않은 것입니다.
wp plugin list --name=latepoint --field=version 2>/dev/null || grep -m1 "Version:" wp-content/plugins/latepoint/latepoint.php 2>/dev/null