🇰🇷 한글 설명
Post Grid WordPress 플러그인 7.9.5 미만 버전에서 발생하는 취약점으로, 허용된 HTML 목록이 사이트 전체에 적용되어 제한 없이 확장됩니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 iframe, style, input 요소를 삽입할 수 있어 HTML 인젝션 공격이 가능해집니다.
💡 쉬운 설명
글을 쓸 수 있는 권한이 있는 사용자가 원래는 쓸 수 없는 위험한 코드(가짜 로그인 창이나 디자인 변경 코드)를 몰래 심을 수 있는 문제입니다. 이를 통해 방문자나 관리자의 정보를 훔치거나 사이트 화면을 변조할 수 있습니다.
🇺🇸 원문 (English)
The Post Grid WordPress plugin before 7.9.5 does not limit an expansion of the WordPress allowed-HTML list to its own markup and applies it site-wide, allowing users with the Contributor role and above to store iframe, style and input elements that are normally stripped from their content, leading to HTML injection (phishing frames, CSS defacement and spoofed input forms) that renders to any visitor and to administrators reviewing the content.
📍 영향받는 시스템
Post Grid WordPress plugin version < 7.9.5
⚔️ 공격 벡터
기여자 이상의 권한을 가진 사용자가 악성 HTML 태그(iframe, style, input)를 포함한 콘텐츠를 저장하여 실행
🛡️ 대응 방법
Post Grid 플러그인을 최신 버전인 7.9.5 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 7.9.5 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'post-grid' && wp plugin list --all | grep -E 'post-grid' | awk '{print $2 " " $3}'