🇰🇷 한글 설명
WordPress Spiffy Plugin 5.0.9 미만 버전에서 이벤트 제목 필드를 통한 저장형 XSS 취약점이 발견되었습니다. 권한이 낮은 기여자(Contributor) 계정을 가진 공격자가 이를 악용하여 사용자를 악성 사이트로 리다이렉트하거나 계정을 탈취할 수 있습니다.
💡 쉬운 설명
게시판 글 제목에 몰래 악성 코드를 심어두는 공격입니다. 이 글을 읽는 다른 사용자의 정보를 훔치거나 가짜 사이트로 강제 이동시킬 수 있습니다.
🇺🇸 원문 (English)
WordPress plugin (Spiffy Plugin) before 5.0.9 is affected by Stored Cross-Site Scripting in Event Title field. An authenticated attacker with the lowest privileged role (contributor) can exploit this to redirect user to malicious site or control the account.
📍 영향받는 시스템
WordPress Spiffy Plugin version < 5.0.9
⚔️ 공격 벡터
인증된 낮은 권한의 사용자가 이벤트 제목 필드에 악성 스크립트를 삽입하여 공격
🛡️ 대응 방법
Spiffy Plugin을 최신 버전인 5.0.9 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 버전 번호가 5.0.9 미만으로 출력되면 취약한 상태입니다.
wp plugin list --name=spiffy-plugin --format=json | grep -E '"version":"[0-4]\.'