| 취약점ID |
210278 |
| 위험도 |
40 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
WordPress 코어는 버전 6.5.2까지의 다양한 버전에서 아바타 블록의 사용자 표시 이름을 통한 저장된 Cross-Site Scripting에 취약합니다. 사용자 표시 이름에 대한 충분하지 않은 출력 이스케이핑으로 인해 발생합니다. 이는 기여자 수준의 인증된 공격자가 임의의 웹 스크립트를 주입하여 사용자가 주입된 페이지에 액세스할 때마다 실행될 수 있는 페이지에 주입할 수 있게 합니다. 또한, 댓글 블록이 존재하고 댓글 작성자의 아바타를 표시하는 페이지에 액세스할 수 있는 인증되지 않은 공격자도 임의의 웹 스크립트를 주입할 수 있게 됩니다.
* 참고 사이트:
https://www.wordfence.com/threat-intel/vulnerabilities/id/e363c09a-4381-4b3a-951c-9a0ff5669016?source=cve
https://core.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=57950%40%2F&new=57950%40%2F&sfp_email=&sfph_mail=#file3
https://wordpress.org/news/2024/04/wordpress-6-5-2-maintenance-and-security-release/
https://www.wordfence.com/blog/2024/04/unauthenticated-stored-cross-site-scripting-vulnerability-patched-in-wordpress-core/
https://core.trac.wordpress.org/changeset/57951/branches/6.4/src/wp-includes/blocks/avatar.php
* 영향받는 플랫폼:
WordPress 6.5.2 또는 이전 버전
Any operating system Any version |
| 해결책 |
다음 WordPress 다운로드 웹 페이지 http://wordpress.org/download/ 에서 구할 수 있는 이 취약점을 해결한 WordPress 버전(6.5.2 또는 그 이후)으로 업그레이드 하여야 한다 |
| 관련 URL |
CVE-2024-4439 (CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
