🇰🇷 한글 설명
Motors WordPress 플러그인 1.4.124 미만 버전에서 리스팅 배지 설정값이 적절히 검증되지 않아 HTML 속성 내에 삽입될 수 있습니다. 이를 통해 관리자가 할당한 특정 권한을 가진 사용자가 임의의 웹 스크립트를 주입할 수 있으며, 방문자나 관리자가 해당 리스팅을 볼 때 스크립트가 실행됩니다.
💡 쉬운 설명
플러그인의 설정값에 악성 코드를 숨겨 넣을 수 있는 보안 취약점입니다. 이 코드는 일반 방문자나 관리자가 해당 페이지를 열 때 자동으로 실행되어 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
The Motors WordPress plugin before 1.4.124 does not sanitise and escape a listing badge setting before outputting it inside an HTML attribute, allowing users with a custom, administrator-assigned listing-management role to inject arbitrary web scripts that execute when a listing is viewed by any visitor, including an administrator.
📍 영향받는 시스템
Motors WordPress plugin version < 1.4.124
⚔️ 공격 벡터
권한이 부여된 사용자가 리스팅 배지 설정값에 악성 스크립트를 주입하는 방식 (Stored XSS)
🛡️ 대응 방법
Motors WordPress 플러그인을 1.4.124 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 motors 플러그인의 버전이 1.4.124 미만인지 확인하십시오.
wp plugin list --all | grep -i 'motors'