🇰🇷 한글 설명
Social Media Share Buttons & Social Sharing Icons WordPress 플러그인 3.0.1 미만 버전에서 게시물 제목을 이스케이프 처리하지 않아 발생하는 저장형 XSS 취약점입니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 스크립트를 삽입할 수 있으며, 방문자가 해당 버튼과 상호작용할 때 실행됩니다.
💡 쉬운 설명
글을 쓰는 사람이 게시물 제목에 몰래 악성 코드를 심어둘 수 있는 보안 약점입니다. 일반 방문자가 공유 버튼을 누르는 순간, 그 코드가 실행되어 개인정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
The Social Media Share Buttons & Social Sharing Icons WordPress plugin before 3.0.1 does not escape the post title before outputting it in an inline JavaScript event handler, allowing users with the Contributor role and above to perform Stored Cross-Site Scripting attacks which are triggered when a visitor interacts with the affected button.
Exploitation requires the Social Media Share Buttons & Social Sharing Icons WordPress plugin before 3.0.1 to be running a non-default icon display configuration.
📍 영향받는 시스템
Social Media Share Buttons & Social Sharing Icons WordPress plugin version < 3.0.1
⚔️ 공격 벡터
기여자 이상의 권한을 가진 사용자가 게시물 제목에 악성 스크립트를 삽입하여 저장하는 방식
🛡️ 대응 방법
해당 플러그인을 최신 버전(3.0.1 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전이 3.0.1 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'social-media-share-buttons'