🇰🇷 한글 설명
WP Delicious WordPress 플러그인 1.10.8 미만 버전에서 사용자 제공 레시피 블록 데이터의 HTML 태그 이름을 검증하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 스크립트 태그를 포함한 임의의 HTML 태그를 삽입할 수 있으며, 레시피 페이지를 조회할 때 해당 스크립트가 실행됩니다.
💡 쉬운 설명
글을 쓸 수 있는 권한이 있는 사용자가 악성 코드가 담긴 태그를 몰래 끼워 넣을 수 있는 보안 약점입니다. 이 코드가 실행되면 해당 페이지를 방문하는 다른 사용자들의 정보가 탈취될 위험이 있습니다.
🇺🇸 원문 (English)
The WP Delicious WordPress plugin before 1.10.8 does not validate or escape the HTML tag name taken from user-supplied recipe block data before rendering it on the front end, allowing users with the Contributor role and above to inject arbitrary HTML tags, including script tags, which execute when the recipe page is viewed.
📍 영향받는 시스템
WP Delicious WordPress plugin version < 1.10.8
⚔️ 공격 벡터
기여자 이상의 권한을 가진 사용자가 레시피 블록 데이터에 악성 HTML/스크립트 태그를 삽입하여 공격
🛡️ 대응 방법
WP Delicious 플러그인을 최신 버전인 1.10.8 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.10.8보다 낮으면 취약한 상태입니다.
wp plugin list --status=active | grep -i 'wp-delicious' && wp plugin list --format=json | jq '.[] | select(.name=="wp-delicious") | .version'