🇰🇷 한글 설명
Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More WordPress 플러그인 3.0.8 미만 버전에서 SVG 파일 업로드 시 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 업로드 권한을 가진 인증된 사용자가 악성 자바스크립트가 포함된 SVG 파일을 업로드하여 스토어드 XSS 공격을 수행할 수 있습니다.
💡 쉬운 설명
플러그인을 사용하는 사람이 그림 파일(SVG)을 올릴 때, 그 안에 몰래 악성 코드를 숨겨서 올릴 수 있는 문제입니다. 이 파일을 다른 사람이 보게 되면 웹사이트 내에서 해커가 의도한 동작이 실행될 수 있습니다.
🇺🇸 원문 (English)
The Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More WordPress plugin before 3.0.8 does not sanitize uploaded SVG files when its SVG upload feature is enabled, allowing authenticated users with the upload capability (Author and above by default, without the unfiltered_html capability) to upload SVG files containing JavaScript that executes in the site context when the file is viewed, leading to Stored Cross-Site Scripting.
📍 영향받는 시스템
Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More WordPress plugin version < 3.0.8
⚔️ 공격 벡터
권한이 있는 사용자가 자바스크립트가 포함된 SVG 파일을 업로드하여 실행 유도
🛡️ 대응 방법
해당 플러그인을 최신 버전인 3.0.8 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.0.8보다 낮으면 취약한 상태입니다.
wp plugin list --status=active | grep -i 'orbit-fox' && wp plugin list --all --format=json | jq '.[] | select(.name=="orbit-fox") | .version'