🇰🇷 한글 설명
WordPress 로그인 화면에서 인증 없이 발생할 수 있는 반사형 XSS 취약점입니다. 공격자가 조작한 악성 웹사이트를 통해 사용자의 상호작용을 유도할 경우, 조건에 따라 원격 코드 실행(RCE)으로까지 확대될 수 있습니다.
💡 쉬운 설명
로그인 페이지의 허점을 이용해 해커가 만든 가짜 사이트로 사용자를 유인하는 공격입니다. 사용자가 속아서 특정 동작을 수행하면 해커가 컴퓨터를 원격으로 조종할 수도 있습니다.
🇺🇸 원문 (English)
WordPress is vulnerable to a pre-auth reflected XSS vulnerability on the login screen.
Via a specially crafted malicious third-party website hosted by an attacker, it is possible for this to be escalated to an RCE vulnerability with conditions outside of the attackers control. This requires successful social engineering of and explicit interaction by the target victim.
This issue affects all versions of WordPress. Version 7.0.3 has been released, containing a fix for the vulnerability, and as a courtesy to users on older branches the fix has been backported to all branches back to 4.7.
Discovered and responsibly disclosed by [the team at pwn.ai](https://pwn.ai/).
📍 영향받는 시스템
WordPress 모든 버전 (7.0.3 미만 버전 및 4.7 미만 버전 포함)
⚔️ 공격 벡터
공격자가 조작한 외부 웹사이트를 통한 사회 공학적 기법 및 사용자 상호작용 유도
🛡️ 대응 방법
WordPress를 최신 버전인 7.0.3 이상으로 업데이트하거나, 사용 중인 브랜치에 적용된 백포트 패치를 적용하십시오.
🔧 검증 코드
출력된 버전 번호가 7.0.3보다 낮으면 취약한 상태입니다.
curl -s https://wordpress.org/latest.tar.gz | tar -xzO --wildcards '*/version.php' | grep -oP '(?<=Version: ).*'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
WordPress 제품 보안 업데이트 권고
P4
📅 2026-08-10 · sec_notice
WordPress 제품에서 Cross-site Scripting(XSS) 취약점이 발견되었습니다. 해당 취약점에 영향을 받는 버전의 사용자는 보안 패치가 적용된 최신 버전으로 업데이트를 수행해야 합니다.