뉴스페이퍼 테마 보안 업데이트

인기 워드프레스 테마 중 하나인 뉴스페이퍼 테마에서 XSS 보안 문제가 발견되어 최신 버전에서 수정되었습니다. 그리고 취업 포털 테마인 Careerfy에서도 최신 버전에서 보안 문제가 수정되었습니다. Newspaper나 Careerfy를 사용 중인 경우 최신 버전으로 업데이트하시기 바랍니다.

워드프레스 자체는 보안에 강하지만 워드프레스, 테마, 플러그인의 업데이트를 소홀히 하면 보안 문제가 발생할 수 있으므로, 가급적 최신 버전으로 업데이트할 것을 권장합니다. 실제로 업데이트를 제때 하지 않았다가 악성코드에 감염되거나 해킹을 당하는 사례를 간혹 목격합니다. 번거롭더라도 최신 버전으로 사이트를 유지하고 정기적으로 워드프레스 사이트를 백업하면 안전하게 사이트를 운영할 수 있습니다.

뉴스페이퍼 테마 보안 취약점 패치

뉴스페이퍼는 TagDiv가 만든 인기 매거진/뉴스 테마로 96,000개 이상 판매를 기록하고 있습니다. 뉴스 사이트나 콘텐츠가 많은 블로그 사이트에 적합합니다.

뉴스페이퍼 10.3.4 미만 버전에서 공격자가 관리자 알림판에 JavaScript 코드를 주입할 수 있는 XSS 취약점이 functions.php 파일에서 발견되었습니다.

add_action( 'current_screen', function() {
    $current_screen = get_current_screen();

    if ( 'update-core' === $current_screen->id && isset( $_REQUEST['update_theme'] )) {

        add_action('admin_head', function() {

            $theme_name = $_REQUEST['update_theme'];

            ob_start();
            ?>

            <script>
                jQuery(window).ready(function() {

                    'use strict';

                    var $formUpgradeThemes = jQuery('form[name="upgrade-themes"]');
                    if ( $formUpgradeThemes.length ) {
                        var $input = $formUpgradeThemes.find('input[type="checkbox"][value="<?php echo $theme_name ?>"]');
                        if ($input.length) {
                            $input.attr( 'checked', true );
                            $formUpgradeThemes.submit();
                        }
                    }
                });
            </script>

            <?php
            echo ob_get_clean();
        });
    }
});

라인 8 (functions.php의 라인 383)에서는 브라우저의 URL에서 update_theme 변수를 읽은 다음 라인 21 (functions.php의 라인 395)에서 이스케이프(Escape)나 Sanitization 없이 그대로 프린트할 수 있습니다.

뉴스페이퍼 테마를 사용하는 경우 최신 버전(현재 10.3.4)으로 업데이트하여 안전하게 워드프레스 사이트를 운영하시기 바랍니다.

Careerfy 테마에서 Unauthenticated Reflected Cross-Site Scripting (XSS) 보안 문제 수정

워드프레스 구인/구직 포털 테마인 Careerfy에서 XSS 취약점이 발견되어 3.9.0 버전에서 수정되었습니다.

사용자들이 업데이트할 수 있는 시간을 주기 위해 PoC는 6월 17일 공개된다고 합니다. 이 테마를 사용하는 경우 가급적 빨리 최신 버전으로 업데이트하시기 바랍니다.

마치며

인기 워드프레스 테마 또는 인기 워드프레스 플러그인에 보안 취약점이 발견되어 수정될 경우, 악의적인 공격자들이 업데이트를 하지 않은 사이트를 노린 악성 코드를 만들어 배포할 수 있습니다.

실제로 이런 사례가 있으므로 주의가 필요합니다. 예를 들어, 인기 페이지 빌더인 Elementor가 5월 초에 SVG Sanitizer Bypass & Authenticated Stored XSS 취약점이 수정된 업데이트 버전을 릴리즈했습니다. 엘리멘터 페이지 빌더를 업데이트하지 않은 사이트를 대상으로 한 해킹 시도가 발견되고 있습니다. 엘리멘터 페이지 빌더를 사용하는 경우에도 최신 버전으로 업데이트해주세요.