워드프레스용 한국형 쇼핑몰 플러그인 그누커머스 버전 0.5.6-beta에 XSS(Cross site scripting) 취약점이 발견됐다. 사용자들은 신속한 패치를 진행해야 한다.

 
해당 취약점을 데일리시큐에 제보한 국제정보보안교육센터(i2sec) 31기 수강생 이현수 씨는 “관리자가 계정에서 테스트 한 결과 악의적으로 상품을 등록하고 사용후기 수정 시에 악성 스크립트가 작성될 경우, 또는 관리자 계정이 해킹 당해 해커에 의해 악성 스크립트가 작성될 경우 XSS 취약점으로 인한 공격으로 2차, 3차 피해로 이어질 수 있다”고 설명했다.
 
국제정보보안교육센터 측은 ”이러한 경우 공격자가 악의적인 스크립트를 등록, 이를 열람하는 사용자의 브라우저에서 해당 코드가 실행되도록 하거나 웜, 바이러스 배포, 사용자 세션정보 탈취, CSRF 공격 등 다른 피해로 이어질 수 있는 공격이다. 이번 취약점의 경우 글 수정 권한 제한을 둬야 하며, html 화이트리스트 방식으로 공격성이 짙은 해당 태그를 필터링해야 한다.”고 전했다.
 
해당 취약점은 현재 사이트의 담당자에게 전달되어 조치가 완료된 상태다. 사용자들은 신속히 업그레이드를 해야 안전할 수 있다.
 
★정보보안 대표 미디어 데일리시큐!★
 
<데일리시큐 길민권 기자> mkgil@dailysecu.com