🇰🇷 한글 설명
Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More WordPress 플러그인 3.0.9 미만 버전에서 Beaver Builder 위젯이 사용자 입력 HTML 태그 이름을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 권한 이상의 사용자가 임의의 웹 스크립트를 삽입할 수 있으며, 해당 페이지를 방문하는 모든 사용자에게 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
플러그인의 설정 오류로 인해 글 작성 권한이 있는 사람이 악성 코드를 몰래 심을 수 있는 문제입니다. 이 코드가 심어진 페이지를 방문하는 일반 사용자들은 해킹 피해를 입을 수 있습니다.
🇺🇸 원문 (English)
The Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More WordPress plugin before 3.0.9 does not validate a user-supplied HTML tag name in one of its Beaver Builder widgets before echoing it into the rendered markup, allowing users with contributor-level access and above to inject arbitrary web scripts that execute when any visitor views the affected page.
📍 영향받는 시스템
Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More WordPress plugin version < 3.0.9
⚔️ 공격 벡터
기여자(Contributor) 이상의 권한을 가진 사용자가 Beaver Builder 위젯의 HTML 태그 입력란에 악성 스크립트를 삽입하는 방식
🛡️ 대응 방법
해당 플러그인을 최신 버전인 3.0.9 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 orbit-fox 플러그인의 버전이 3.0.9 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'orbit-fox' && wp plugin list --all | grep -E 'orbit-fox' | awk '{print $2, $3}'