🇰🇷 한글 설명
Event Tickets and Registration WordPress 플러그인 5.28.4 미만 버전에서 이벤트 제목에 대한 적절한 이스케이프 처리가 누락되었습니다. 이로 인해 편집자(Editor) 이상의 권한을 가진 사용자가 티켓 내역 로그에 악성 스크립트를 삽입하여 멀티사이트 환경의 상위 권한 사용자에게 저장형 XSS 공격을 수행할 수 있습니다.
💡 쉬운 설명
플러그인의 이벤트 제목 입력란에 악성 코드를 숨겨 넣을 수 있는 보안 취약점입니다. 이 코드는 관리자 같은 높은 권한을 가진 사람이 해당 페이지를 볼 때 자동으로 실행되어 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
The Event Tickets and Registration WordPress plugin before 5.28.4 does not properly escape event titles before outputting them in a ticket history log, allowing users with the Editor role and above to perform Stored Cross-Site Scripting attacks that execute against higher-privileged users on multisite installations.
📍 영향받는 시스템
Event Tickets and Registration WordPress plugin version < 5.28.4
⚔️ 공격 벡터
편집자 권한을 가진 사용자가 이벤트 제목에 악성 스크립트를 입력하여 티켓 내역 로그에 저장하는 방식 (Stored XSS)
🛡️ 대응 방법
Event Tickets and Registration 플러그인을 최신 버전인 5.28.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전이 5.28.4 미만인지 확인하십시오.
wp plugin list --status=active | grep -E 'event-tickets-and-registration'