🇰🇷 한글 설명
Xpro Addons — 140+ Widgets for Elementor WordPress 플러그인 1.7.9 미만 버전에서 위젯 링크 설정에 대한 검증 및 정화가 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 자바스크립트를 삽입하여 해당 위젯을 사용하는 모든 사용자의 브라우저에서 코드를 실행시킬 수 있습니다.
💡 쉬운 설명
플러그인의 링크 설정 칸에 악성 코드를 몰래 심어두는 취약점입니다. 이 링크가 포함된 페이지를 방문하는 사람들은 자신도 모르게 해킹 공격을 받을 수 있습니다.
🇺🇸 원문 (English)
The Xpro Addons — 140+ Widgets for Elementor WordPress plugin before 1.7.9 does not validate or sanitize a widget link setting before storing and using it in a JavaScript navigation call, allowing users with the contributor role and above to inject and store JavaScript that executes in the browser of anyone who interacts with the affected widget.
📍 영향받는 시스템
Xpro Addons — 140+ Widgets for Elementor WordPress plugin version < 1.7.9
⚔️ 공격 벡터
기여자 이상의 권한을 가진 사용자가 위젯 설정 내 링크 필드에 악성 자바스크립트를 삽입하여 저장하는 방식
🛡️ 대응 방법
Xpro Addons 플러그인을 최신 버전인 1.7.9 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인 이름과 함께 1.7.9 미만의 버전 번호가 출력되면 취약한 상태입니다.
wp plugin list --name xpro-addons --format=csv | grep -E 'xpro-addons,.*,[0-1]\.[0-7]\.'