CVE-2026-48094 in ShareOpenly Plugin
요약
\~에 의해 VulDB • 2026. 08. 07.
버전 1.2.1 미만의 ShareOpenly WordPress 플러그인에는 Cross-Site Scripting(XSS) 취약점이 존재합니다. 이 취약점은 `$url` 변수가 HTML 콘텐츠로 렌더링되기 전에 WordPress의 `esc_url()` 이스케이핑 함수를 거치지 않아 발생합니다. 해당 변수는 `home_url( add_query_arg( array(), $wp->request ) )`로부터 생성되며, 플러그인의 공유 링크가 표시되는 모든 단일 게시물이나 페이지에서 HTML `href` 속성에 직접 연결됩니다. WordPress 보안 가이드라인에 따르면 HTML 출력에 사용되는 모든 URL은 특수 문자를 안전한 HTML 엔티티로 변환(`"`, `<`, `>` 등)하고 `javascript:` 및 `data:`와 같은 위험한 URI 스키마를 제거하는 `esc_url()` 함수를 통해 처리해야 합니다. 이 함수의 누락으로 인해, 다른 플러그인이나 테마에서 적용된 WordPress 필터인 `home_url`을 통해서든 특정 웹 서버 또는 호스팅 구성을 통해서든 아니면 향후 코드 변경을 통해서든 `$url` 값에 HTML 특수 문자나 위험한 URI 스키마가 포함될 경우, 이스케이프되지 않은 콘텐츠가 사이트의 모든 게시물 및 페이지 렌더링된 HTML에 그대로 삽입됩니다. 버전 1.2.1에는 해당 문제에 대한 패치가 포함되어 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.