🇰🇷 한글 설명
iubenda | All-in-one Compliance for GDPR / CCPA Cookie Consent 워드프레스 플러그인 3.13.7 이전 버전은 내장 HTML 파서가 재출력하는 콘텐츠를 제대로 이스케이프하지 않습니다. 이로 인해 인증되지 않은 사용자가 페이지에 임의의 웹 스크립트를 삽입할 수 있으며, 해당 페이지를 보는 모든 방문자(관리자 포함)의 세션에서 스크립트가 실행됩니다.
💡 쉬운 설명
이 플러그인을 쓰는 워드프레스 사이트에 누구나 악성 스크립트를 몰래 심을 수 있습니다. 그 페이지를 방문한 사람, 특히 로그인한 관리자가 피해를 입을 수 있습니다.
🇺🇸 원문 (English)
The iubenda | All-in-one Compliance for GDPR / CCPA Cookie Consent + more WordPress plugin before 3.13.7 does not properly escape content it re-emits through its bundled HTML parser, allowing unauthenticated users to inject arbitrary web scripts in pages that will execute in the session of any visitor viewing them, including logged in administrators.
📍 영향받는 시스템
iubenda 워드프레스 플러그인 3.13.7 미만 버전
⚔️ 공격 벡터
인증 없이 콘텐츠를 입력할 수 있는 지점에 악성 스크립트를 넣어 방문자 브라우저에서 실행시키는 저장형 XSS
🛡️ 대응 방법
플러그인을 3.13.7 이상으로 업데이트하고, 업데이트가 어려우면 플러그인을 비활성화합니다.
🔧 검증 코드
출력된 version 값이 3.13.7 미만이면 취약하고, 3.13.7 이상이면 패치된 버전입니다. 아무것도 출력되지 않으면 해당 플러그인이 설치되어 있지 않은 것입니다.
wp plugin list --name=iubenda-cookie-law-solution --fields=name,version,status 2>/dev/null || grep -rh 'Version:' /var/www/*/wp-content/plugins/iubenda*/*.php 2>/dev/null | head -n 3