🇰🇷 한글 설명
Essential Addons for Elementor WordPress 플러그인 6.6.10 미만 버전에서 Pricing Table 위젯의 제목 HTML 태그 이름을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 자바스크립트를 삽입하여 관리자 세션에서 실행될 수 있는 저장형 XSS 공격이 가능합니다.
💡 쉬운 설명
웹사이트 편집 권한이 있는 사용자가 악성 코드를 몰래 심어놓을 수 있는 보안 약점입니다. 관리자가 해당 페이지를 열람할 때 관리자의 계정 권한을 탈취당할 위험이 있습니다.
🇺🇸 원문 (English)
The Essential Addons for Elementor WordPress plugin before 6.6.10 does not validate the HTML tag name of the Pricing Table widget title before outputting it, allowing users with Contributor-level access and above to inject JavaScript that will be executed (Stored Cross-Site Scripting) when the page is viewed, including in the session of an administrator previewing or visiting the post.
📍 영향받는 시스템
Essential Addons for Elementor WordPress plugin version < 6.6.10
⚔️ 공격 벡터
기여자 이상의 권한을 가진 사용자가 Pricing Table 위젯 제목에 악성 HTML/JS 코드를 삽입하여 저장하는 방식
🛡️ 대응 방법
Essential Addons for Elementor 플러그인을 최신 버전(6.6.10 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 6.6.10 미만 버전이 설치되어 취약한 상태임을 의미합니다.
wp plugin list --name essential-addons-for-elementor --format=csv | grep -E 'essential-addons-for-elementor,[^,]*[0-6]\.[0-6]\.[0-9]{2,}'