🇰🇷 한글 설명
AVideo TopMenu 플러그인 26.0 이하 버전에는 메뉴 항목 렌더링 과정에서 아이콘 클래스, URL, 텍스트 레이블에 출력 인코딩이 누락되어 저장형 XSS 취약점이 존재합니다. 공격자는 이스케이프되지 않은 메뉴 항목 필드에 악성 자바스크립트를 삽입하여 사이트 방문자 모두에게서 실행되도록 할 수 있으며, 이를 통해 세션 쿠키 탈취나 무단 작업이 가능합니다.
💡 쉬운 설명
사이트 메뉴에 악성 코드를 심을 수 있는 보안 결함입니다. 이 메뉴를 보는 모든 방문자의 로그인 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
AVideo TopMenu plugin through version 26.0 contains a stored cross-site scripting vulnerability in menu item rendering due to missing output encoding of icon classes, URLs, and text labels. Attackers can inject malicious JavaScript through unescaped menu item fields that execute for all site visitors, potentially stealing session cookies or performing unauthorized actions.
📍 영향받는 시스템
AVideo TopMenu 플러그인 26.0 이하 버전
⚔️ 공격 벡터
관리자 권한이 있는 공격자가 메뉴 항목 필드에 악성 스크립트를 저장하면 해당 메뉴를 렌더링하는 모든 사용자의 브라우저에서 실행됨
🛡️ 대응 방법
TopMenu 플러그인을 26.0 초과의 패치된 버전으로 업데이트하고, 메뉴 출력 시 HTML 이스케이프를 적용
🔧 검증 코드
출력된 버전 값이 26.0 이하이면 취약하며, 26.0 초과이면 패치가 적용된 것으로 판단합니다.
grep -ri 'version' /var/www/html/plugin/TopMenu/*.json 2>/dev/null | head -5