🇰🇷 한글 설명
Advanced Custom Fields: Extended 및 Extended PRO WordPress 플러그인 0.9.2.8 이전 버전은 폼 숏코드 속성값을 검증하거나 이스케이프하지 않습니다. 방문자 요청에서 가져온 값이 이스케이프 없이 출력되어, 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 스크립트를 삽입할 수 있습니다. 이는 CVE-2023-5292 수정이 불완전했기 때문입니다.
💡 쉬운 설명
악의적인 링크나 페이지를 열면 방문자의 브라우저에서 공격자가 만든 스크립트가 실행될 수 있습니다. 로그인한 관리자가 이 링크를 열면 관리자 권한까지 탈취될 위험이 있습니다.
🇺🇸 원문 (English)
The Advanced Custom Fields: Extended WordPress plugin before 0.9.2.8, Advanced Custom Fields: Extended PRO WordPress plugin before 0.9.2.8 does not validate or escape some of its form shortcode attributes, which can be pointed at values taken from the visitor's own request and are then output without escaping, allowing users with a role as low as contributor to have arbitrary script run in the browser of anyone led to open a crafted link or page, including a logged-in administrator.
This is an incomplete fix for CVE-2023-5292, whose deny-list covers only the three HTML wrapper attributes.
📍 영향받는 시스템
Advanced Custom Fields: Extended 및 Extended PRO 플러그인 0.9.2.8 이전 버전을 사용하는 WordPress 사이트
⚔️ 공격 벡터
기여자 이상 권한의 사용자가 조작된 숏코드 속성을 포함한 콘텐츠를 만들고, 피해자(관리자 포함)가 해당 링크나 페이지를 열면 XSS가 실행됨
🛡️ 대응 방법
Advanced Custom Fields: Extended 및 Extended PRO 플러그인을 0.9.2.8 이상으로 업데이트
🔧 검증 코드
출력된 version 값이 0.9.2.8 미만이면 취약하므로 0.9.2.8 이상으로 업데이트가 필요하고, 0.9.2.8 이상이면 패치가 적용된 상태입니다.
wp plugin list --name=acf-extended --fields=name,version 2>/dev/null