🇰🇷 한글 설명
Smash Balloon Social Post Feed WordPress 플러그인에서 페이스북 댓글 메시지를 통한 저장형 XSS 취약점이 발견되었습니다. 공격자는 페이스북 계정만으로 악성 스크립트를 삽입할 수 있으며, 관리자가 빌더 미리보기를 확인할 때 스크립트가 실행되어 임의의 플러그인 설치 및 서버 측 코드 실행으로 이어질 수 있습니다.
💡 쉬운 설명
페이스북 댓글에 몰래 숨겨진 악성 코드를 심어, 관리자가 플러그인 설정 화면을 보는 순간 관리자 권한을 탈취하거나 서버를 해킹할 수 있는 문제입니다. 별도의 로그인 없이 페이스북 댓글만으로도 공격이 가능하다는 점이 매우 위험합니다.
🇺🇸 원문 (English)
The Smash Balloon Social Post Feed – Simple Social Feeds for WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Facebook Comment Message via v-html in Admin Builder Preview in all versions up to, and including, 4.13.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that will execute whenever an administrator accesses the feed builder preview page. This attack requires only a Facebook account to post a comment on the connected Facebook Page, with no WordPress credentials needed; additionally, the use of v-show rather than v-if means injected HTML — including onerror handlers — is evaluated in the DOM even when the comment section is not visually displayed. When combined with the lack of URL validation in the cff_install_addon AJAX handler (admin/addon-functions.php), an injected script running in an administrator's session can trigger arbitrary plugin installation from an attacker-controlled URL, which may result in server-side code execution.
📍 영향받는 시스템
Smash Balloon Social Post Feed (WordPress plugin) v4.13.0 및 그 이하 모든 버전
⚔️ 공격 벡터
페이스북 페이지에 악성 스크립트가 포함된 댓글을 작성하여 관리자의 플러그인 빌더 미리보기 페이지에서 스크립트 실행 유도
🛡️ 대응 방법
플러그인을 최신 버전으로 업데이트하고, 입력값 검증 및 출력 이스케이프 처리가 적용된 보안 패치를 적용하십시오.
🔧 검증 코드
출력된 플러그인 버전이 4.13.0 이하인지 확인하여 취약 여부를 판단합니다.
wp plugin list --status=active | grep -i 'smash-balloon-social-post-feed' | awk '{print $2 " " $3}'