🇰🇷 한글 설명
WordPress용 StatCounter – Free Real Time Visitor Stats 플러그인 2.1.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. statcounter_addToTags() 함수가 작성자의 닉네임을 JavaScript 문자열 내에 출력할 때 적절한 이스케이프 처리를 하지 않아 발생합니다. 이를 통해 권한을 가진 공격자가 악성 스크립트를 삽입하여 방문자에게 실행시킬 수 있습니다.
💡 쉬운 설명
플러그인이 작성자의 별명을 웹사이트에 표시할 때 보안 검사를 제대로 하지 않는 문제입니다. 공격자가 자신의 별명을 악성 코드로 바꾸면, 해당 글을 읽는 모든 사람의 브라우저에서 해킹 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
The StatCounter – Free Real Time Visitor Stats plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 2.1.1 This is due to insufficient output escaping on the post author's nickname in the statcounter_addToTags() function. The function is hooked to wp_head and fires on every single post page. It retrieves the post author's nickname via the_author_meta() and echoes it directly into a JavaScript double-quoted string context inside a <script> block without applying esc_js() or any equivalent JavaScript-context escaping. This makes it possible for authenticated attackers with Author-level access and above to inject arbitrary web scripts into pages that will execute whenever any user (including unauthenticated visitors) accesses a post authored by the attacker.
📍 영향받는 시스템
StatCounter – Free Real Time Visitor Stats plugin (WordPress) version 2.1.1 and below
⚔️ 공격 벡터
Author 권한 이상의 인증된 공격자가 자신의 닉네임을 악성 스크립트로 변경하여 저장
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하거나, 작성자 닉네임에 특수문자 사용을 제한해야 합니다.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 2.1.1 이하인지 확인해야 합니다.
wp plugin list --status=active | grep -i 'statcounter'