🇰🇷 한글 설명
Robo Gallery WordPress 플러그인 5.2.6 미만 버전에서 이미지 설정값이 적절히 필터링되지 않아 발생하는 저장형 XSS 취약점입니다. 작성자(Author) 권한 이상의 사용자가 악성 스크립트를 삽입할 수 있으며, 관리자를 포함한 갤러리 방문자의 브라우저에서 해당 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
플러그인의 설정값에 악성 코드를 숨겨두면, 갤러리를 구경하는 다른 사람(관리자 포함)의 컴퓨터에서 해킹 코드가 몰래 실행될 수 있는 문제입니다. 글을 쓸 권한이 있는 사용자가 이 공격을 시도할 수 있습니다.
🇺🇸 원문 (English)
The Robo Gallery WordPress plugin before 5.2.6 does not sanitise and escape some of its image settings before outputting them in a gallery page, allowing users with the Author role and above to perform Stored Cross-Site Scripting attacks that execute in the browser of any visitor viewing the gallery, including administrators, even where the unfiltered_html capability is disallowed such as on multisite.
📍 영향받는 시스템
WordPress Robo Gallery plugin versions prior to 5.2.6
⚔️ 공격 벡터
작성자 권한 이상의 사용자가 이미지 설정값에 악성 스크립트를 삽입하여 저장하는 방식 (Stored XSS)
🛡️ 대응 방법
Robo Gallery 플러그인을 최신 버전인 5.2.6 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 Robo Gallery의 버전을 확인하여 5.2.6 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'robo-gallery'