🇰🇷 한글 설명
Optimole WordPress 플러그인 4.2.12 이전 버전에서 사용자 입력값이 이미지 태그 속성을 생성할 때 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 임의의 속성을 주입하여 모든 방문자에게 영향을 미치는 저장형 XSS(Stored Cross-Site Scripting) 공격을 수행할 수 있습니다.
💡 쉬운 설명
해커가 웹사이트에 악성 코드를 몰래 심어두어, 해당 사이트를 방문하는 모든 사람의 정보를 훔치거나 공격할 수 있는 문제입니다. 플러그인이 사용자의 입력을 제대로 검사하지 않아 발생하는 보안 허점입니다.
🇺🇸 원문 (English)
The Optimole WordPress plugin before 4.2.12 does not properly escape a user supplied value before using it to build an image tag attribute, allowing unauthenticated users to inject arbitrary attributes into pages served to every visitor, which leads to Stored Cross-Site Scripting.
📍 영향받는 시스템
Optimole WordPress plugin version < 4.2.12
⚔️ 공격 벡터
인증되지 않은 사용자가 악성 속성이 포함된 값을 주입하여 서버에 저장하는 방식
🛡️ 대응 방법
Optimole WordPress 플러그인을 최신 버전인 4.2.12 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 optimole의 버전이 4.2.12 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'optimole'