CVE-2017-3810에 할당된 WordPress 플러그인 취약점이 발표되었습니다. 해당 취약점은 특정 플러그인(Smart Google Code Inserter)를 사용할 경우에만 취약점이 존재합니다.

 

<그림 1>에 보이는 Google Analytics를 통해 설정된 값은 smartgooglecode.php의 smartGoogleCode()함수를 통해 전달되는데 여기에서 전달되는 값을 검증하지 않아 취약점이 발생하게 됩니다.

 

<그림 1 - Smart Google Code Inserter 플러그인 설정 화면>

 

CVSSv3 : 5.3
https://www.first.org/cvss/calculator/3.0#CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

 

해결방안

1.해당벤더사의 권고사항을 참조하여 최신버전으로 업데이트한다.
https://ko.wordpress.org/plugins/smart-google-code-inserter/#description

 

2.Sniper IPS에서는 아래패턴으로 대응이 가능하다.

 

 

참조

https://cxsecurity.com/issue/WLB-2018010020