🇰🇷 한글 설명
HootBoard WordPress 플러그인 3.1.4 이하 버전에서 일부 REST 엔드포인트에 대한 권한 검사가 누락되어 발생합니다. 인증되지 않은 사용자가 악성 스크립트를 삽입할 수 있으며, 이는 관리자를 포함한 페이지 방문자의 브라우저에서 실행될 수 있습니다.
💡 쉬운 설명
로그인하지 않은 누구나 웹사이트에 몰래 악성 코드를 심을 수 있는 보안 구멍이 발견되었습니다. 이 코드가 실행되면 사이트를 방문하는 사람들의 정보를 훔치거나 관리자 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
The HootBoard WordPress plugin through 3.1.4 does not perform any authorisation check on some of its REST endpoints, and does not escape the values stored through them before outputting them in a public page, allowing unauthenticated users to inject arbitrary web scripts that will execute in the browser of anyone visiting that page, including administrators.
📍 영향받는 시스템
HootBoard WordPress plugin 3.1.4 및 그 이전 버전
⚔️ 공격 벡터
인증되지 않은 사용자가 권한 검사가 없는 REST API 엔드포인트를 통해 악성 스크립트를 주입하는 방식
🛡️ 대응 방법
HootBoard 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 HootBoard 플러그인이 나타나고 버전이 3.1.4 이하인지 확인하십시오.
wp plugin list --allow-root | grep -i 'hootboard'