🇰🇷 한글 설명
WordPress용 Anti-Spam by CleanTalk 플러그인 6.79 미만 버전에서 이메일 인코딩 기능의 커스텀 숏코드 내 콘텐츠가 적절히 정제되지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 승인된 댓글에 임의의 웹 스크립트를 삽입할 수 있으며, 관리자를 포함한 사용자가 해당 게시물을 볼 때 스크립트가 실행됩니다.
💡 쉬운 설명
스팸 방지 플러그인의 허점을 이용해 댓글창에 악성 코드를 몰래 심는 공격입니다. 관리자가 댓글을 확인하는 순간 관리자 권한이 탈취되거나 개인정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
The Anti-Spam by CleanTalk. Spam protection WordPress plugin before 6.79 does not properly sanitize content within a custom shortcode used in its email-encoding feature, allowing unauthenticated attackers to inject arbitrary web scripts into approved comments that will execute when any user (including administrators) views the post.
📍 영향받는 시스템
Anti-Spam by CleanTalk WordPress plugin version < 6.79
⚔️ 공격 벡터
인증되지 않은 공격자가 이메일 인코딩 기능의 숏코드를 악용하여 댓글에 악성 스크립트 주입 (Stored XSS)
🛡️ 대응 방법
Anti-Spam by CleanTalk 플러그인을 최신 버전(6.79 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 6.79 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'cleantalk' && wp plugin list --all --format=json | jq '.[] | select(.name=="cleantalk-spam-protection") | .version'