🇰🇷 한글 설명
Hoo Companion WordPress 플러그인 1.0.2 버전의 가져오기 기능에서 권한 검증 및 데이터 검증이 누락되었습니다. 인증되지 않은 공격자가 악성 웹 스크립트를 삽입하여 사이트 방문자 및 관리자에게 실행시킬 수 있으며, 이 과정에서 기존 테마 설정이 파괴됩니다.
💡 쉬운 설명
해커가 로그인 없이도 웹사이트에 몰래 악성 코드를 심을 수 있는 보안 결함입니다. 이 공격을 받으면 사이트의 디자인 설정이 망가지고 관리자의 정보가 탈취될 위험이 있습니다.
🇺🇸 원문 (English)
The Hoo Companion WordPress plugin 1.0.2 does not have any authorisation or validation checks in one of its import features, and does not sanitise the data submitted to it before storing it as the active theme's settings, allowing unauthenticated attackers to inject arbitrary web scripts which will execute for anyone viewing the site, including administrators. The same request destroys the site's existing theme settings.
📍 영향받는 시스템
WordPress Hoo Companion plugin version 1.0.2
⚔️ 공격 벡터
인증되지 않은 공격자가 플러그인의 가져오기 기능을 통해 악성 스크립트가 포함된 데이터를 전송
🛡️ 대응 방법
해당 플러그인을 즉시 삭제하거나 보안 패치가 적용된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 'hoo-companion'이 포함되어 있다면 해당 취약한 플러그인이 설치 및 활성화된 상태입니다.
wp plugin list --status=active | grep -i 'hoo-companion'