🇰🇷 한글 설명
King Addons for Elementor WordPress 플러그인 51.1.81 미만 버전에서 객체 수준 권한 검사가 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 관리자 소유의 페이지 내용을 덮어쓰거나, 이스케이프되지 않은 위젯 설정을 통해 저장형 XSS 공격을 수행할 수 있습니다.
💡 쉬운 설명
낮은 권한을 가진 사용자가 웹사이트의 중요한 페이지 내용을 마음대로 수정하거나 악성 코드를 심을 수 있는 보안 결함입니다. 이 코드가 실행되면 해당 페이지를 방문하는 모든 사용자의 정보가 탈취될 위험이 있습니다.
🇺🇸 원문 (English)
The King Addons for Elementor WordPress plugin before 51.1.81 does not perform an object-level authorization check when importing template content into a page, allowing users with contributor-level access and above to overwrite the Elementor content of arbitrary posts and pages, including those owned by administrators, and to inject JavaScript through a widget setting that is output without escaping, resulting in Stored Cross-Site Scripting that executes in the session of any user who views the affected page.
📍 영향받는 시스템
King Addons for Elementor WordPress plugin version < 51.1.81
⚔️ 공격 벡터
기여자 이상의 권한을 가진 사용자가 템플릿 가져오기 기능을 악용하여 임의의 페이지를 수정하고 악성 스크립트를 삽입함
🛡️ 대응 방법
King Addons for Elementor 플러그인을 최신 버전인 51.1.81 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 이름의 버전을 확인하여 51.1.81 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'king-addons-for-elementor' | awk '{print $2}'