IT之家 10월 7일 소식에 따르면, WordPress는 어제(10월 6일) 7.1.3 버전을 업데이트하여 플랫폼 핵심에 있는 7개의 보안 취약점을 수정하고 4개의 프로그램 버그를 해결했습니다.
이번 수정된 7개의 보안 취약점 중, 인공지능 회사 Anthropic에서 3개를 보고했으며, Trail of Bits와 Patchstack은 각각 1개씩을 보고했습니다. 나머지 1개는 세 명의 독립적인 연구원이 제출했고, 마지막 1개는 WordPress 보안 팀이 자체적으로 발견했습니다.
IT之家가 블로그 글을 인용한 바에 따르면, 가장 쉽게 악용될 수 있는 취약점은 댓글 관리 인터페이스에 위치해 있으며, 저장형 크로스사이트 스크립트(XSS) 문제에 해당합니다. 이는 Trail of Bits의 Thomas Chauchefoin이 보고한 내용으로, 악성 스크립트는 검토 중인 댓글 큐에 숨겨져 있어 관리자가 페이지를 열 때 실행될 수 있습니다.
Anthropic 보고서에 있는 3개의 취약점 중 하나는 WXR 엔진에 존재합니다. 공격자가 입력한 내용은 저장되며, 사용자가 콘텐츠를 내보내거나 시스템이 해당 입력을 이용해 데이터베이스 쿼리를 생성할 때만 위협이 발생합니다.
또한 WP_Http::make_absolute_url() 방법에 있는 서비스 거부 취약점과, 작가 역할 사용자가 권한을 넘어 게시물을 톱니게시로 표시할 수 있는 권한 문제도 있습니다.