Patch Ticker

MCB Stats 플러그인 User-Agent 헤더를 통한 저장형 XSS

워드프레스 통계 플러그인을 쓰면 관리자 화면이 해킹당할 수 있습니다.

요약

MCB Stats 워드프레스 플러그인은 요청 헤더 값을 걸러내지 않고 저장합니다. 그래서 인증하지 않은 공격자가 악성 자바스크립트를 저장할 수 있고, 관리자가 통계 화면을 열면 그 스크립트가 관리자 브라우저에서 실행됩니다.

대처법

고친 버전은 아직 확인되지 않았습니다. 1.0.0 이하 버전을 쓰고 있다면 1.0.0보다 새로운 버전으로 올라갔는지 확인하고, 제작사 공지를 읽어 보세요.

대상 제품과 운영체제

  • MCB Stats

CVE 번호

원문 링크

시각

처음 게시

처음 확인