🇰🇷 한글 설명
All in One SEO WordPress 플러그인 5.0.2.1 미만 버전에서 사용자 입력 콘텐츠 내의 숏코드를 올바르게 식별하지 못하는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 사이트에 등록된 임의의 숏코드를 실행할 수 있으며, 구버전에서 업그레이드된 사이트의 경우 보호 기능이 비활성화되어 공격이 더 용이합니다.
💡 쉬운 설명
웹사이트의 특정 기능을 실행하는 '단축 명령어'를 해커가 마음대로 조작하여 실행할 수 있는 문제입니다. 특히 예전 버전을 쓰던 사이트는 보안 장치가 꺼져 있어 해커가 더 쉽게 침입할 수 있습니다.
🇺🇸 원문 (English)
The All in One SEO WordPress plugin before 5.0.2.1 does not correctly determine which shortcodes are present in content derived from user input before deciding which ones to strip, allowing unauthenticated users to execute arbitrary shortcodes registered on the site. On sites upgraded from older versions the protection is disabled outright, making the issue reachable without any crafted input.
📍 영향받는 시스템
All in One SEO WordPress plugin version < 5.0.2.1
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 숏코드가 포함된 입력을 전송하여 실행
🛡️ 대응 방법
All in One SEO WordPress 플러그인을 5.0.2.1 이상 버전으로 즉시 업데이트
🔧 검증 코드
출력된 결과에서 all-in-one-seo-pack의 버전이 5.0.2.1 미만인지 확인
wp plugin list --format=table | grep -E 'all-in-one-seo-pack'