🇰🇷 한글 설명
Groundhogg WordPress 플러그인 4.5.13 미만 버전에서 웹 양식 필드 값에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 인증되지 않은 사용자가 악성 스크립트를 삽입하여 관리자 권한을 가진 사용자에게 저장형 XSS 공격을 수행할 수 있습니다.
💡 쉬운 설명
웹사이트의 문의 양식에 몰래 악성 코드를 심어두는 공격입니다. 관리자가 해당 내용을 확인하는 순간 관리자의 계정 권한이 탈취될 수 있습니다.
🇺🇸 원문 (English)
The Groundhogg — CRM, Newsletters, and Marketing Automation WordPress plugin before 4.5.13 does not validate or escape values submitted to some optional web form fields before storing them and outputting them back in an administrative area, allowing unauthenticated users to perform Stored Cross-Site Scripting attacks against high privilege users.
📍 영향받는 시스템
Groundhogg WordPress plugin version < 4.5.13
⚔️ 공격 벡터
인증되지 않은 사용자가 웹 양식 필드에 악성 스크립트를 입력하여 데이터베이스에 저장시킨 후 관리자가 이를 조회할 때 실행됨
🛡️ 대응 방법
Groundhogg 플러그인을 최신 버전인 4.5.13 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 groundhogg의 버전이 4.5.13 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'groundhogg'