curl -s "http://target-site.com/wp-content/plugins/sureforms/languages/sureforms.pot" | grep "Project-Id-Version"

// 함수 Xv: 필드 값 전처리
var Xv = function(input) {
    var value = input.value;
    
    // 취약점 근본 원인:
    // 문자열에 HTML 엔티티(예: <)가 포함된 경우 textarea를 생성하고,
    // 내용을 삽입한 다음 값을 추출합니다.
    // 이렇게 하면 HTML 엔티티가 효과적으로 원시 HTML 태그로 디코딩됩니다.
    // 예: "<img ...>"가 ""가 됩니다.
    
    if (typeof value === "string" && value.match(/&[a-zA-Z0-9#]+;/)) {
        var textarea = document.createElement("textarea");
        textarea.innerHTML = value;
        
        // 살균을 되돌리는 로직
        if (textarea.value.includes("<") || textarea.value.includes(">")) {
             value = textarea.value; // 이제 'value'에는 원시 HTML이 포함됨
        }
    }
    return { ...input, value: value };
}

// 함수 Jv: 필드 렌더링
var Jv = function(props) {
    var field = props.field;
    var val = field.value; // 이 값은 이제 원시 HTML입니다 (디코딩 후)

    // 트리거: 문자열이 HTML처럼 보이는지 확인
    if (typeof val === "string" && val.match(/<[^>]+>/g)) {
        // 싱크: 클라이언트 측 살균(예: DOMPurify) 없이 dangerouslySetInnerHTML을 사용하여 렌더링
        return React.createElement("span", {
            dangerouslySetInnerHTML: { __html: val }
        });
    }
    
    // HTML이 아닌 텍스트의 경우 안전하게 렌더링
    return React.createElement("span", null, val);
}