🇰🇷 한글 설명
Calendar WordPress 플러그인 1.3.18 이전 버전에서 사용자 입력 이벤트 필드가 HTML 속성 내에 출력될 때 적절히 이스케이프되지 않는 취약점이 존재합니다. 이로 인해 기여자(Contributor) 권한을 가진 사용자가 임의의 자바스크립트를 삽입하여 캘린더를 보는 모든 사용자의 브라우저에서 코드를 실행할 수 있습니다.
💡 쉬운 설명
글쓰기 권한이 있는 사람이 몰래 악성 코드를 심어둘 수 있는 보안 구멍입니다. 이 코드가 실행되면 캘린더를 구경하는 사람들의 정보를 훔치거나 브라우저를 조작할 수 있습니다.
🇺🇸 원문 (English)
The Calendar WordPress plugin before 1.3.18 does not properly escape a user-supplied event field before outputting it inside an HTML attribute on a public-facing page, allowing users with the Contributor role to inject arbitrary JavaScript that executes in the browser of anyone viewing the calendar.
📍 영향받는 시스템
Calendar WordPress plugin version < 1.3.18
⚔️ 공격 벡터
기여자 권한을 가진 사용자가 이벤트 필드에 악성 자바스크립트 코드를 삽입하여 실행
🛡️ 대응 방법
Calendar WordPress 플러그인을 1.3.18 버전 이상으로 즉시 업데이트
🔧 검증 코드
출력된 플러그인 목록에서 Calendar 플러그인의 버전을 확인하여 1.3.18 미만인지 체크
wp plugin list --status=active | grep -i 'calendar'