🇰🇷 한글 설명
WordPress용 WP Blockade 플러그인의 모든 버전(0.9.14 이하)에서 'shortcode' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. render_shortcode_preview() 함수가 사용자 입력을 적절히 검증하거나 이스케이프 처리하지 않고 출력하기 때문에 발생합니다. 로그인된 사용자(최소 구독자 권한 이상)가 악성 스크립트가 포함된 링크를 통해 다른 사용자의 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 특수하게 조작된 링크를 클릭하게 유도하여, 웹사이트 내에서 악성 코드가 실행되게 만드는 보안 약점입니다. 이를 통해 공격자는 사용자의 세션을 탈취하거나 원치 않는 동작을 수행할 수 있습니다.
🇺🇸 원문 (English)
The WP Blockade plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'shortcode' parameter in all versions up to and including 0.9.14. This is due to insufficient input sanitization and output escaping in the render_shortcode_preview() function. The function receives user input from $_GET['shortcode'], passes it through stripslashes() without any sanitization, and then outputs it directly via echo do_shortcode($shortcode) on line 393. When the input is not a valid WordPress shortcode (e.g., an HTML tag with JavaScript event handlers), do_shortcode() returns it unchanged, and it is reflected into the page without escaping. The endpoint is registered via admin_post_ (not admin_post_nopriv_), meaning it requires the user to be logged in with at minimum a Subscriber-level account. There is no nonce verification or additional capability check. This makes it possible for authenticated attackers, with Subscriber-level access and above, to inject arbitrary web scripts in pages that will execute if they can successfully trick a user into performing an action such as clicking a link.
📍 영향받는 시스템
WP Blockade plugin for WordPress (version 0.9.14 and below)
⚔️ 공격 벡터
인증된 공격자가 조작된 'shortcode' 파라미터가 포함된 URL을 사용자에게 클릭하도록 유도 (Reflected XSS)
🛡️ 대응 방법
WP Blockade 플러그인을 최신 버전으로 업데이트하거나, 입력값에 대한 sanitization 및 출력 시 escaping 처리를 적용해야 합니다.
🔧 검증 코드
명령어 결과에 현재 설치된 WP Blockade의 버전이 0.9.14 이하로 표시되면 취약한 상태입니다.
wp plugin list --name=wp-blockade --format=csv | grep -E 'wp-blockade,0\[\.\d+\]+'