🇰🇷 한글 설명
GiveWP WordPress 플러그인 4.16.3 미만 버전에서 기부 양식 템플릿 설정값이 HTML 속성에 출력될 때 적절히 이스케이프되지 않는 취약점이 존재합니다. 이를 통해 GiveWP Worker 이상의 권한을 가진 사용자가 임의의 웹 스크립트를 삽입하여 일반 방문자가 보는 기부 양식에서 코드를 실행할 수 있습니다.
💡 쉬운 설명
플러그인 관리 권한이 있는 사람이 악성 코드를 몰래 심어둘 수 있는 보안 약점입니다. 이 코드가 실행되면 일반 방문자의 브라우저에서 해킹 동작이 일어날 수 있습니다.
🇺🇸 원문 (English)
The GiveWP WordPress plugin before 4.16.3 does not escape a donation-form template setting before outputting it in an HTML attribute, allowing users with the GiveWP Worker role and above to inject arbitrary web scripts that execute on the public donation form viewed by any visitor.
📍 영향받는 시스템
GiveWP WordPress plugin versions before 4.16.3
⚔️ 공격 벡터
GiveWP Worker 이상의 권한을 가진 사용자가 기부 양식 템플릿 설정에 악성 스크립트를 주입하는 방식
🛡️ 대응 방법
GiveWP 플러그인을 4.16.3 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 givewp의 버전이 4.16.3 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'givewp' && wp plugin list --all | grep -E 'givewp' | awk '{print $2 " " $3}'