🇰🇷 한글 설명
WPeMatico RSS Feed Fetcher WordPress 플러그인 2.8.27 미만 버전에서 발생하는 취약점입니다. 기여(Contributor) 권한 이상의 사용자가 가져온 피드 콘텐츠를 적절히 검증하지 않고 게시물 내용으로 저장하여 저장형 XSS 공격을 수행할 수 있습니다.
💡 쉬운 설명
글을 쓸 수 있는 권한이 있는 사용자가 악성 코드가 담긴 뉴스 피드를 가져오면, 다른 사용자가 해당 글을 읽을 때 악성 스크립트가 실행될 수 있는 문제입니다. 이를 통해 사용자의 세션을 탈취하거나 원치 않는 동작을 유도할 수 있습니다.
🇺🇸 원문 (English)
The WPeMatico RSS Feed Fetcher WordPress plugin before 2.8.27 does not sanitize imported feed content before storing it as post content, allowing users with the Contributor role and above to perform Stored Cross-Site Scripting attacks.
📍 영향받는 시스템
WPeMatico RSS Feed Fetcher WordPress plugin version < 2.8.27
⚔️ 공격 벡터
기여 권한 이상의 사용자가 악성 스크립트가 포함된 RSS 피드를 플러그인을 통해 가져와 게시물로 저장하는 방식
🛡️ 대응 방법
WPeMatico RSS Feed Fetcher 플러그인을 2.8.27 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.8.27보다 낮으면 취약한 상태입니다.
wp plugin list --name wpe-matico-rss-feed-fetcher --format=json | grep -oP '(?<=version":")[^"]+'