🇰🇷 한글 설명
WordPress용 'The Real Testimonials' 플러그인의 4.1.0 이하 모든 버전에는 tpro_client_image(JPEG IPTC 캡션)와 tpro_client_testimonial([gallery] 숏코드) 매개변수에서 입력값 검증과 출력 이스케이프가 부족하여 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 이 취약점은 관리자가 HTML 태그 제거 옵션을 끈 상태에서 제출된 후기를 승인한 경우에만 악용될 수 있습니다.
💡 쉬운 설명
누구나 악성 스크립트가 포함된 후기를 제출할 수 있고, 관리자가 이를 승인하면 웹사이트 방문자의 브라우저에서 해당 스크립트가 실행될 수 있습니다. 실행된 스크립트는 방문자의 정보를 빼가거나 원치 않는 동작을 수행하게 할 수 있습니다.
🇺🇸 원문 (English)
The Real Testimonials – Testimonial Slider, Collect Customer Reviews and Video Testimonials plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'tpro_client_image (JPEG IPTC caption) + tpro_client_testimonial ([gallery] shortcode)' parameter in all versions up to, and including, 4.1.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires an administrator to have the display block configured with the Strip All HTML Tags option disabled, which is the plugin's native setting for rendering formatted testimonial content, and to have approved the submitted testimonials.
📍 영향받는 시스템
The Real Testimonials 플러그인 4.1.0 이하 모든 버전이 설치된 WordPress 사이트
⚔️ 공격 벡터
비인증 공격자가 악성 스크립트를 삽입한 후기나 JPEG IPTC 캡션을 제출하고, 관리자가 승인해 페이지에 렌더링되면 방문자 브라우저에서 스크립트가 실행됨
🛡️ 대응 방법
플러그인을 4.1.0 초과 버전으로 업데이트하고, 승인 전 제출된 후기 내용을 검토하며, 표시 설정에서 HTML 태그 제거 옵션을 활성화
🔧 검증 코드
출력된 version 값이 4.1.0 이하이면 취약한 버전이므로 업데이트가 필요하며, 명령 결과가 없으면 해당 플러그인이 이 서버에 설치되어 있지 않은 것입니다.
wp plugin list --name=real-testimonials --fields=name,version,status 2>/dev/null || grep -rh "Version:" $(find /var/www -path '*real-testimonials*' -name '*.php' 2>/dev/null | head -n 5) 2>/dev/null | head -n 1