🇰🇷 한글 설명
Kirki WordPress 플러그인 6.3.1 미만 버전에서 업로드된 SVG 파일에 대한 검증이 누락되었습니다. 이로 인해 작성자 권한 이상의 사용자가 악성 자바스크립트가 포함된 SVG 파일을 업로드할 수 있으며, 해당 파일이 실행될 경우 사이트 방문자의 세션에서 코드가 실행될 수 있습니다.
💡 쉬운 설명
이미지 파일인 SVG에 몰래 악성 코드를 숨겨 올릴 수 있는 보안 약점이 발견되었습니다. 이 파일을 누군가 클릭하면 해당 웹사이트의 권한을 탈취당할 위험이 있습니다.
🇺🇸 원문 (English)
The Kirki WordPress plugin before 6.3.1 does not sanitize uploaded SVG files while making them uploadable site-wide, allowing users with author-level access and above to upload a file containing JavaScript which is then served from the site's own origin and runs in the session of anyone who opens it.
📍 영향받는 시스템
Kirki WordPress plugin version < 6.3.1
⚔️ 공격 벡터
작성자 권한 이상의 사용자가 악성 자바스크립트가 포함된 SVG 파일을 업로드하여 실행 유도
🛡️ 대응 방법
Kirki WordPress 플러그인을 6.3.1 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 Kirki 플러그인의 버전을 확인하여 6.3.1 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'kirki'