🇰🇷 한글 설명
Smart Manager WordPress 플러그인 8.92.0 미만 버전에서 게시물 필드를 HTML 속성에 렌더링할 때 적절한 인코딩을 수행하지 않는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 관리자 세션에서 실행되는 자바스크립트를 삽입할 수 있습니다.
💡 쉬운 설명
글을 쓸 수 있는 권한이 있는 사용자가 몰래 악성 코드를 심어놓을 수 있습니다. 관리자가 관리 화면을 열 때 이 코드가 실행되어 관리자 권한을 탈취당할 수 있습니다.
🇺🇸 원문 (English)
The Smart Manager WordPress plugin before 8.92.0 does not properly encode a post field before rendering it into an HTML attribute in its management grid, allowing users with the Contributor role or above to inject JavaScript that executes in the browser session of an administrator who views the grid.
📍 영향받는 시스템
Smart Manager WordPress plugin version < 8.92.0
⚔️ 공격 벡터
기여자 이상의 권한을 가진 사용자가 게시물 필드에 악성 자바스크립트를 삽입하여 관리자의 브라우저에서 실행 유도
🛡️ 대응 방법
Smart Manager WordPress 플러그인을 8.92.0 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 smart-manager의 버전이 8.92.0 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'smart-manager'