🇰🇷 한글 설명
Meow Gallery WordPress 플러그인 5.5.2 미만 버전에서 첨부 파일의 alt 텍스트를 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 작성자(Author) 이상의 권한을 가진 사용자가 자바스크립트 페이로드를 삽입할 수 있으며, 해당 갤러리가 포함된 게시물을 방문하는 모든 사용자(관리자 포함)의 브라우저에서 코드가 실행될 수 있습니다.
💡 쉬운 설명
글 작성 권한이 있는 사람이 이미지 설명란에 악성 코드를 숨겨둘 수 있는 문제입니다. 이 코드는 해당 이미지가 포함된 페이지를 보는 모든 사람의 브라우저에서 몰래 실행될 수 있습니다.
🇺🇸 원문 (English)
The Meow Gallery WordPress plugin before 5.5.2 does not escape an attachment's alt text before outputting it into an attribute of the link it builds for linked galleries, allowing users with the Author role or above to store a JavaScript payload that executes in the browser of any visitor (including administrators) who views a post containing such a gallery.
📍 영향받는 시스템
Meow Gallery WordPress plugin version < 5.5.2
⚔️ 공격 벡터
권한이 있는 사용자가 이미지의 alt 텍스트 속성에 악성 자바스크립트 삽입 (Stored XSS)
🛡️ 대응 방법
Meow Gallery 플러그인을 최신 버전(5.5.2 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 5.5.2보다 낮으면 취약한 상태입니다.
wp plugin list --name meow-gallery --format=json | grep -oP '(?<=version":")[^"]+'