🇰🇷 한글 설명
10Web Booster WordPress 플러그인 2.33.5 미만 버전에서 인증되지 않은 요청에 대한 액세스 토큰 검증이 누락되었습니다. 공격자가 스타일시트 콘텐츠를 조작하여 페이지 헤드에 삽입할 수 있으며, 이를 통해 익명의 방문자 브라우저에서 자바스크립트가 실행되는 XSS 공격이 가능합니다.
💡 쉬운 설명
웹사이트의 디자인을 담당하는 설정 파일에 악성 코드를 몰래 끼워 넣을 수 있는 취약점입니다. 이 취약점을 이용하면 사이트를 방문하는 사람들의 브라우저에서 해커가 원하는 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
The 10Web Booster WordPress plugin before 2.33.5 does not correctly validate an access token on an unauthenticated request handler and does not escape attacker-supplied stylesheet content before rendering it into the page head, allowing an unauthenticated attacker to store markup that executes as JavaScript in the browser of anonymous visitors to an affected page.
📍 영향받는 시스템
10Web Booster WordPress plugin version < 2.33.5
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 스타일시트 콘텐츠를 전송하여 저장형 XSS 공격 수행
🛡️ 대응 방법
10Web Booster 플러그인을 최신 버전인 2.33.5 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 2.33.5 미만인지 확인하여 취약 여부를 판단합니다.
wp plugin list --status=active | grep '10Web Booster' | awk '{print $2}'