🇰🇷 한글 설명
The Visualizer WordPress 플러그인 4.0.8 미만 버전에서 차트의 JSON 데이터 소스 설정이 적절히 검증되지 않아 발생하는 취약점입니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 자바스크립트를 삽입할 수 있으며, 관리자가 해당 차트를 검토할 때 브라우저에서 코드가 실행될 수 있습니다.
💡 쉬운 설명
플러그인 설정에 몰래 악성 코드를 숨겨두었다가, 관리자가 차트를 확인하는 순간 관리자의 권한을 탈취할 수 있는 보안 약점입니다. 글 작성 권한이 있는 사람이 관리자를 속여 시스템 제어권을 얻을 수 있습니다.
🇺🇸 원문 (English)
The Visualizer WordPress plugin before 4.0.8 does not sanitise and escape a chart's JSON data source configuration before outputting it back in the chart editor, allowing users with the Contributor role and above to store JavaScript that executes in the browser of any higher-privileged user, such as an administrator, who reviews the affected chart.
📍 영향받는 시스템
The Visualizer WordPress plugin version < 4.0.8
⚔️ 공격 벡터
기여자 이상의 권한을 가진 사용자가 차트 설정 내 JSON 데이터 소스에 악성 자바스크립트를 삽입하여 관리자의 브라우저에서 실행 유도
🛡️ 대응 방법
The Visualizer WordPress 플러그인을 최신 버전인 4.0.8 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 'the-visualizer'를 확인한 후, 설치된 버전이 4.0.8 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'the-visualizer' | awk '{print $2}'