🇰🇷 한글 설명
Quiz and Survey Master (QSM) WordPress 플러그인 11.2.2 미만 버전에서 질문 설정값이 인용되지 않은 HTML 속성에 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 권한 이상의 사용자가 임의의 자바스크립트를 삽입하여 해당 퀴즈를 보는 모든 사용자의 브라우저에서 코드를 실행할 수 있습니다.
💡 쉬운 설명
퀴즈를 만드는 권한이 있는 사람이 악성 코드를 몰래 심어놓을 수 있는 문제입니다. 이 퀴즈를 보는 다른 사람들의 웹 브라우저에서 해킹 코드가 자동으로 실행될 수 있습니다.
🇺🇸 원문 (English)
The Quiz and Survey Master (QSM) WordPress plugin before 11.2.2 does not properly escape a question setting before outputting it into an unquoted HTML attribute, allowing users with contributor-level access and above to inject arbitrary JavaScript that executes in the browser of any user viewing the affected quiz.
📍 영향받는 시스템
WordPress Quiz and Survey Master (QSM) plugin versions prior to 11.2.2
⚔️ 공격 벡터
기여자 이상의 권한을 가진 사용자가 질문 설정값에 악성 자바스크립트를 삽입하는 방식 (Stored XSS)
🛡️ 대응 방법
QSM 플러그인을 최신 버전인 11.2.2 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 플러그인 버전이 11.2.2 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'quiz-and-survey-master'