🇰🇷 한글 설명
WPForms WordPress 플러그인의 click5 CRM 애드온 1.0.3 이하 버전에서 인증되지 않은 엔드포인트를 통해 제출된 콘텐츠를 적절히 검증하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이로 인해 관리자 페이지에 저장형 XSS(Stored XSS)가 발생할 수 있으며, 관리자와 같은 높은 권한을 가진 사용자를 공격 대상으로 삼을 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 악성 코드를 몰래 심어놓으면, 관리자가 관리자 페이지를 열 때 그 코드가 실행되어 관리자 계정을 탈취당할 수 있는 보안 결함입니다.
🇺🇸 원문 (English)
The click5 CRM add-on to WPForms WordPress plugin through 1.0.3 does not sanitise and escape content submitted through an unauthenticated endpoint before outputting it back in an admin page, leading to Stored XSS which could be used against high privilege users such as admin.
📍 영향받는 시스템
WPForms click5 CRM add-on 1.0.3 이하 버전
⚔️ 공격 벡터
인증되지 않은 사용자가 악성 스크립트가 포함된 데이터를 특정 엔드포인트로 전송하여 데이터베이스에 저장한 후, 관리자가 해당 데이터를 조회할 때 실행됨
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하거나, 취약한 애드온 사용을 중단하십시오.
🔧 검증 코드
명령어 결과에 click5-crm 플러그인이 나타나면 설치된 것이며, 설치된 버전이 1.0.3 이하인지 확인이 필요합니다.
wp plugin list --status=active | grep -E 'click5-crm'