MDJM Event Management·Mobile Events Manager 플러그인 저장형 XSS (역할 생성)
행사 관리 플러그인에서 가입자가 관리자 화면에 몰래 스크립트를 심을 수 있습니다.
요약
워드프레스 행사 관리 플러그인 MDJM Event Management와 Mobile Events Manager의 1.7.8.7 이하 버전에서, 로그인한 구독자도 역할 생성 요청으로 악성 스크립트를 심을 수 있습니다. 관리자가 사용자 관리 화면을 열면 그 스크립트가 실행됩니다.
해당 조건
- 플러그인 1.7.8.7 이하 설치
- 구독자 등 로그인 계정을 가진 공격자
- 관리자가 표준 사용자 관리 화면 열기
대처법
1.7.8.7 이하 버전을 쓰고 있다면 1.7.8.7보다 새로운 버전인지 확인하고 제작사 공지를 읽으세요. 알려진 수정 버전은 아직 없습니다.
대상 제품과 운영체제
CVE 번호
원문 링크
시각
처음 게시
처음 확인