🇰🇷 한글 설명
iGMS Direct Booking WordPress 플러그인 2.0 미만 버전에서 위젯 외관 설정에 대한 권한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 인증되지 않은 사용자가 임의의 웹 스크립트를 저장할 수 있으며, 관리자가 설정을 확인하거나 방문자가 위젯이 포함된 페이지를 볼 때 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
해커가 예약 위젯의 디자인 설정에 몰래 악성 코드를 심을 수 있는 취약점입니다. 이 코드는 관리자의 계정을 탈취하거나 일반 방문자의 브라우저에서 위험한 동작을 수행할 수 있습니다.
🇺🇸 원문 (English)
The iGMS Direct Booking WordPress plugin before 2.0 does not authorise or escape its widget appearance settings, allowing unauthenticated users to store arbitrary web scripts that execute in the context of an administrator viewing the iGMS Direct Booking WordPress plugin before 2.0 settings, and in the browser of any visitor to a page displaying the booking widget.
📍 영향받는 시스템
iGMS Direct Booking WordPress plugin version < 2.0
⚔️ 공격 벡터
인증되지 않은 사용자가 위젯 설정 필드에 악성 스크립트를 주입하는 방식 (Stored XSS)
🛡️ 대응 방법
iGMS Direct Booking 플러그인을 최신 버전(2.0 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전이 2.0 미만인지 확인하십시오.
wp plugin list --status=active | grep -i 'igms-direct-booking'