🇰🇷 한글 설명
Slider Hero with Video Background, Animation WordPress 플러그인 9.1.3 미만 버전에서 권한 및 논스(nonce) 검증 미흡과 저장된 설정값의 이스케이프 처리 누락이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 악성 자바스크립트를 저장할 수 있으며, 관리자 페이지나 슬라이더가 포함된 페이지를 방문하는 사용자에게 실행될 수 있습니다.
💡 쉬운 설명
해커가 로그인 없이도 웹사이트 설정에 몰래 악성 코드를 심을 수 있는 취약점입니다. 이 코드가 실행되면 관리자의 계정을 탈취하거나 방문자에게 피해를 줄 수 있습니다.
🇺🇸 원문 (English)
The Slider Hero with Video Background, Animation WordPress plugin before 9.1.3 does not have authorisation and nonce checks on two of its request handlers, and does not escape a stored setting before outputting it, allowing unauthenticated users to store malicious JavaScript which will be executed in the context of an administrator viewing the Slider Hero with Video Background, Animation WordPress plugin before 9.1.3's admin area, as well as any visitor of a page embedding a slider.
📍 영향받는 시스템
Slider Hero with Video Background, Animation WordPress plugin version < 9.1.3
⚔️ 공격 벡터
인증되지 않은 사용자가 권한 검증이 없는 요청 핸들러를 통해 악성 스크립트를 삽입하는 방식
🛡️ 대응 방법
Slider Hero with Video Background, Animation WordPress 플러그인을 9.1.3 이상 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 9.1.3 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'slider-hero' && wp plugin list --all | grep -E 'slider-hero' | awk '{print $2 " " $3}'