🇰🇷 한글 설명
All in One SEO WordPress 플러그인 5.0.0.1 미만 버전에서 게시물에 저장된 일부 콘텐츠를 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 XSS 공격을 수행할 수 있으며, 관리자 등 상위 권한 사용자가 해당 게시물을 편집할 때 공격이 실행될 수 있습니다.
💡 쉬운 설명
글을 쓸 수 있는 권한이 있는 사람이 게시물에 악성 코드를 몰래 심어둘 수 있는 문제입니다. 나중에 관리자가 그 글을 수정하려고 열어보는 순간, 관리자의 계정 정보가 탈취되거나 원치 않는 동작이 실행될 수 있습니다.
🇺🇸 원문 (English)
The All in One SEO WordPress plugin before 5.0.0.1 does not sanitise and escape some content stored in posts before rendering it back in the post editor, which could allow users with the contributor role and above to perform Stored Cross-Site Scripting attacks that trigger when a higher privileged user edits the post.
📍 영향받는 시스템
All in One SEO WordPress plugin version < 5.0.0.1
⚔️ 공격 벡터
기여자 이상의 권한을 가진 사용자가 게시물 내에 악성 스크립트를 삽입하여 저장하는 방식 (Stored XSS)
🛡️ 대응 방법
All in One SEO 플러그인을 최신 버전(5.0.0.1 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 All in One SEO의 버전을 확인하여 5.0.0.1 미만인지 체크합니다.
wp plugin list --status=active | grep -i 'all-in-one-seo-pack'