🇰🇷 한글 설명
EmbedPress WordPress 플러그인 4.6.7 미만 버전에서 Elementor 위젯 설정 중 하나를 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 HTML 속성에 임의의 웹 스크립트를 삽입하여 실행할 수 있습니다.
💡 쉬운 설명
플러그인의 설정값 검증이 부족하여, 글 작성 권한이 있는 사람이 악성 코드를 숨겨 넣을 수 있는 문제입니다. 이 코드가 포함된 페이지를 다른 사람이 방문하면 악성 스크립트가 자동으로 실행될 수 있습니다.
🇺🇸 원문 (English)
The EmbedPress WordPress plugin before 4.6.7 does not sanitise and escape one of its Elementor widget settings before outputting it into an HTML attribute, which could allow users with the Contributor role or above to inject arbitrary web scripts that execute when the affected content is viewed.
📍 영향받는 시스템
EmbedPress WordPress plugin version < 4.6.7
⚔️ 공격 벡터
기여자 이상의 권한을 가진 사용자가 Elementor 위젯 설정값에 악성 스크립트를 삽입하는 방식 (Stored XSS)
🛡️ 대응 방법
EmbedPress 플러그인을 최신 버전인 4.6.7 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 embedpress의 버전이 4.6.7 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'embedpress'