🇰🇷 한글 설명
JetEngine WordPress 플러그인 3.8.13.1 미만 버전에서 업로드된 SVG 파일에 대한 검증이 부족하여 발생하는 보안 취약점입니다. 인증되지 않은 공격자가 악성 자바스크립트가 포함된 SVG 파일을 업로드할 수 있으며, 이를 다른 사용자가 열람할 경우 저장형 XSS 공격이 실행됩니다.
💡 쉬운 설명
해커가 웹사이트에 악성 코드가 담긴 그림 파일을 몰래 올릴 수 있는 문제입니다. 누군가 그 그림을 클릭하면 해커가 사용자의 정보를 훔치거나 조작할 수 있습니다.
🇺🇸 원문 (English)
The JetEngine WordPress plugin before 3.8.13.1 does not sanitise uploaded SVG files before storing and serving them, and does not adequately restrict who can upload them, allowing unauthenticated attackers to upload a file containing malicious JavaScript that executes in the browser of any user who opens it (Stored Cross-Site Scripting).
📍 영향받는 시스템
JetEngine WordPress plugin version < 3.8.13.1
⚔️ 공격 벡터
인증되지 않은 공격자가 악성 스크립트가 포함된 SVG 파일을 업로드하여 실행시키는 방식
🛡️ 대응 방법
JetEngine 플러그인을 최신 버전(3.8.13.1 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 jetengine의 버전이 3.8.13.1 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'jetengine'