Patch Ticker

WP PageNavi Style 플러그인 CSRF 기반 저장형 XSS

워드프레스 페이지 번호 플러그인, 방문자 화면에 악성 동작을 심을 수 있습니다.

요약

WP PageNavi Style 플러그인 1.4 이하 버전은 설정을 저장할 때 CSRF 검사가 없습니다. 로그인한 관리자를 속여 악성 스크립트를 저장하게 할 수 있고, 이 스크립트는 사이트 방문자 모두의 브라우저에서 실행됩니다.

해당 조건

  • 로그인한 관리자가 공격자의 페이지를 방문해야 함
  • WP PageNavi Style 1.4 이하 버전 사용

대처법

고쳐진 버전은 확인되지 않았습니다. 1.4보다 새 버전이 나왔는지 확인하고 제작자의 공지를 읽으세요.

대상 제품과 운영체제

  • WP PageNavi Style

CVE 번호

원문 링크

시각

처음 게시

처음 확인