🇰🇷 한글 설명
HappyAddons for Elementor WordPress 플러그인 3.50.0 미만 버전에서 아이콘 값이 HTML 속성 내에 출력될 때 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 권한 이상의 사용자가 이벤트 핸들러 속성을 주입하여 페이지를 보는 모든 사용자의 브라우저에서 자바스크립트를 실행할 수 있습니다.
💡 쉬운 설명
플러그인의 버튼 아이콘 설정 칸에 악성 코드를 숨겨 넣을 수 있는 보안 약점이 있습니다. 이 코드는 페이지를 방문하는 관리자의 브라우저에서 몰래 실행되어 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
The HappyAddons for Elementor WordPress plugin before 3.50.0 does not escape an icon value on one of its button widgets before outputting it inside an HTML attribute, allowing users with Contributor-level access and above to inject event-handler attributes that execute JavaScript in the browser of anyone who views the page, including higher-privileged users reviewing the content, even though such users do not hold the unfiltered_html capability.
📍 영향받는 시스템
HappyAddons for Elementor WordPress plugin version < 3.50.0
⚔️ 공격 벡터
기여자 권한 이상의 사용자가 버튼 위젯의 아이콘 값에 악성 자바스크립트 이벤트 핸들러를 주입
🛡️ 대응 방법
HappyAddons for Elementor 플러그인을 3.50.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과의 버전 번호가 3.50.0 미만인지 확인하십시오.
wp plugin list --name happyaddons-for-elementor --format=csv | grep -E 'happyaddons-for-elementor'