🇰🇷 한글 설명
WordPress 3.6.1 이전 버전의 wp-includes/functions.php에서 PHP unserialize() 함수가 데이터 직렬화 여부를 제대로 확인하지 못해 발생하는 취약점입니다. 원격 공격자가 악의적인 직렬화된 객체를 전달하여 임의의 PHP 코드 실행이 가능합니다.
💡 쉬운 설명
WordPress의 오래된 버전에서 사용자 입력을 안전하게 검증하지 않아, 해커가 특수한 데이터를 보내면 웹 서버에서 임의의 명령을 실행할 수 있습니다. 이는 웹사이트 전체가 해킹될 수 있는 심각한 취약점입니다.
🇺🇸 원문 (English)
wp-includes/functions.php in WordPress before 3.6.1 does not properly determine whether data has been serialized, which allows remote attackers to execute arbitrary code by triggering erroneous PHP unserialize operations.
📍 영향받는 시스템
WordPress 버전 3.6.0 이하 (3.6.1 이상에서 수정)
⚔️ 공격 벡터
원격 공격자가 직렬화된 PHP 객체를 포함한 HTTP 요청을 전송하여 unserialize() 함수 호출 트리거
🛡️ 대응 방법
WordPress를 3.6.1 이상으로 업그레이드하거나, 자동 업데이트 활성화
🔧 검증 코드
취약한 버전에서는 unserialize() 호출이 is_serialized() 검사 없이 직접 실행되는 부분이 발견됩니다.
grep -r 'unserialize' wp-includes/functions.php | grep -v 'is_serialized'