🇰🇷 한글 설명
Forms WordPress 플러그인 3.0.2 미만 버전에서 제출된 양식 값을 저장할 때 검증하지 않고, 관리자 대시보드 출력 시 이스케이프 처리를 하지 않는 취약점이 존재합니다. 이를 통해 인증되지 않은 사용자가 임의의 웹 스크립트를 삽입할 수 있으며, 관리자가 제출 내역을 확인하는 과정에서 해당 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
해커가 가짜 양식 내용을 보내 관리자 화면에 악성 코드를 심을 수 있는 보안 구멍입니다. 관리자가 제출된 내용을 확인하는 순간 해커가 의도한 명령이 관리자의 브라우저에서 실행됩니다.
🇺🇸 원문 (English)
The Forms WordPress plugin before 3.0.2 does not sanitise submitted form values on storage, nor escape them before outputting them on the form submissions screen in the administration dashboard, allowing unauthenticated users to inject arbitrary web scripts that will execute in the browser of any administrator viewing the submissions.
📍 영향받는 시스템
WordPress Forms plugin version < 3.0.2
⚔️ 공격 벡터
인증되지 않은 사용자가 악성 스크립트가 포함된 양식 데이터를 제출하여 관리자 대시보드에서 실행 유도 (Stored XSS)
🛡️ 대응 방법
Forms WordPress 플러그인을 3.0.2 이상의 최신 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 3.0.2 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'forms'