🇰🇷 한글 설명
Ninja Forms WordPress 플러그인 3.15.3 버전에서 제출된 양식 필드 값이 관리자 화면에 출력될 때 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 공개 양식을 통해 악성 값을 제출하면, 해당 제출 내용을 검토하는 권한이 높은 사용자의 브라우저에서 코드가 실행될 수 있습니다.
💡 쉬운 설명
해커가 웹사이트 문의 양식에 몰래 악성 코드를 적어 보낼 수 있는 문제입니다. 관리자가 이 문의 내용을 확인하는 순간, 관리자의 권한을 탈취당할 위험이 있습니다.
🇺🇸 원문 (English)
The Ninja Forms WordPress plugin 3.15.3 does not escape submitted form field values before outputting them on the submission edit screen in the admin area, which could allow unauthenticated users to submit values through a public form that then execute in the browser of any high-privileged user who reviews the submission.
📍 영향받는 시스템
WordPress Ninja Forms plugin version 3.15.3 or lower
⚔️ 공격 벡터
공개된 양식에 악성 스크립트를 삽입하여 제출한 후, 관리자가 해당 제출 내역을 조회하도록 유도하는 방식 (Stored XSS)
🛡️ 대응 방법
Ninja Forms 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 ninja-forms의 버전이 3.15.3 이하인지 확인하십시오.
wp plugin list --allow-root | grep -E 'ninja-forms'