🇰🇷 한글 설명
Event Booking Manager for WooCommerce WordPress 플러그인 5.3.7 미만 버전에서 발생하는 취약점입니다. 작성자(Author) 이상의 권한을 가진 사용자가 이벤트 타임라인 콘텐츠를 조작하여 악성 자바스크립트를 삽입할 수 있으며, 이는 방문자 및 관리자의 브라우저에서 실행될 수 있습니다.
💡 쉬운 설명
글을 쓸 수 있는 권한이 있는 사용자가 이벤트 페이지에 몰래 악성 코드를 심을 수 있는 문제입니다. 이 코드가 실행되면 해당 페이지를 보는 모든 사람의 정보를 훔치거나 관리자 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
The Event Booking Manager for WooCommerce WordPress plugin before 5.3.7 does not sanitise or escape event timeline content submitted by users with post-editing access before storing it and rendering it on the public event page, allowing users with the Author role and above to inject arbitrary JavaScript that executes in the browser of any visitor viewing the event, including administrators.
📍 영향받는 시스템
Event Booking Manager for WooCommerce WordPress plugin version < 5.3.7
⚔️ 공격 벡터
권한이 있는 사용자가 이벤트 타임라인 입력란에 악성 스크립트를 삽입하여 실행시키는 Stored XSS 공격
🛡️ 대응 방법
해당 플러그인을 최신 버전인 5.3.7 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 5.3.7 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'event-booking-manager'