🇰🇷 한글 설명
Grav Form Plugin 9.1.19 미만 버전에서 폼 템플릿의 필드 정의 속성(prepend, append, spacer text 등)에 대한 이스케이프 처리가 누락되었습니다. 폼 작성 권한을 가진 공격자는 unescaped |raw 필터와 따옴표가 없는 속성을 악용하여 임의의 HTML 및 JavaScript를 삽입할 수 있으며, 이는 모든 폼 방문자에게 실행됩니다.
💡 쉬운 설명
폼을 만드는 권한이 있는 사람이 악성 코드를 몰래 심어놓을 수 있는 보안 약점입니다. 이 코드가 심어지면 해당 폼을 보는 모든 사람의 브라우저에서 해킹 스크립트가 실행될 수 있습니다.
🇺🇸 원문 (English)
Grav Form Plugin before 9.1.19 fails to escape field-definition properties including prepend, append, spacer text, section text, and select option labels in form templates. Attackers with form authoring privileges can inject arbitrary HTML and JavaScript that executes for all form visitors through unescaped |raw filters and unquoted attributes.
📍 영향받는 시스템
Grav Form Plugin 9.1.19 미만 버전
⚔️ 공격 벡터
폼 작성 권한을 이용한 필드 속성 내 HTML/JavaScript 주입 (Stored XSS)
🛡️ 대응 방법
Grav Form Plugin을 9.1.19 이상 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
설치된 Grav Form Plugin의 버전을 확인하여 9.1.19 미만인지 확인합니다.
wp plugin list --status=active | grep -i 'grav-form' && grep -r "version" . | grep -E '9\[\.\d+\]' | grep -v '9.1.19'