🇰🇷 한글 설명
Gutenverse News WordPress 플러그인 3.3.3 미만 버전에서 HTML 필터링 제한이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 악성 자바스크립트를 포함한 댓글을 저장할 수 있으며, 관리자가 이를 검토하거나 방문자가 게시물을 볼 때 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
댓글창에 허용되지 않은 악성 코드를 몰래 심을 수 있는 보안 구멍이 발견되었습니다. 관리자가 댓글을 확인하거나 일반 사용자가 글을 읽을 때 해커가 심어놓은 악성 프로그램이 자동으로 실행될 수 있습니다.
🇺🇸 원문 (English)
The Gutenverse News WordPress plugin before 3.3.3 does not restrict the extra HTML it adds to WordPress's allowed elements to the context it is meant for, applying the same relaxed list to every sanitisation context including untrusted comments, allowing unauthenticated users to store JavaScript that will execute in the browser of any administrator who reviews the comment queue, and of any visitor to the post once the comment is approved.
📍 영향받는 시스템
Gutenverse News WordPress plugin version < 3.3.3
⚔️ 공격 벡터
인증되지 않은 사용자가 악성 HTML/JavaScript가 포함된 댓글을 작성하여 저장하는 방식 (Stored XSS)
🛡️ 대응 방법
Gutenverse News 플러그인을 최신 버전인 3.3.3 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 버전이 3.3.3 미만으로 나타나면 취약한 버전이 설치된 상태입니다.
wp plugin list --name gutenverse-news --format=json | grep -E '"version":"[0-3]\.[0-3]\.[0-2]"'