🇰🇷 한글 설명
The7 WordPress 테마는 14.3.2 이하 버전에서 'dt_default_button' 쇼트코드의 'link' 파라미터 중 'title' 구성요소에 대한 입력값 정화 및 출력 이스케이프가 불충분하여 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 기여자(Contributor) 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있으며, 해당 페이지에 접근하는 사용자의 브라우저에서 스크립트가 실행됩니다.
💡 쉬운 설명
웹사이트에 글을 쓸 수 있는 일반 사용자가 페이지에 악성 코드를 숨겨 넣을 수 있는 문제입니다. 다른 방문자가 그 페이지를 열면 악성 코드가 실행되어 개인정보나 로그인 정보가 빼앗길 수 있습니다.
🇺🇸 원문 (English)
The The7 theme for WordPress is vulnerable to Stored Cross-Site Scripting via the 'dt_default_button' shortcode in all versions up to, and including, 14.3.2. This is due to insufficient input sanitization and output escaping on the 'title' component of the 'link' shortcode parameter. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
📍 영향받는 시스템
The7 WordPress 테마 14.3.2 이하 모든 버전
⚔️ 공격 벡터
기여자 권한 이상으로 로그인한 공격자가 쇼트코드 title 파라미터에 스크립트를 삽입해 페이지를 저장하고, 피해자가 해당 페이지에 접근하면 실행됨
🛡️ 대응 방법
The7 테마를 14.3.2보다 높은 최신 버전으로 업데이트하고, 기여자 권한 사용자 계정을 최소화 및 점검
🔧 검증 코드
출력된 Version 값이 14.3.2 이하이면 취약하므로 즉시 업데이트가 필요하며, 15.0 이상 등 패치된 버전이면 안전합니다. 아무 결과도 없으면 The7 테마가 설치되어 있지 않은 것입니다.
grep -rh "Version:" $(wp theme path --allow-root 2>/dev/null)/the7/style.css 2>/dev/null || find / -path '*/themes/the7/style.css' 2>/dev/null -exec grep -H 'Version:' {} \;