🇰🇷 한글 설명
WooCommerce 7.1.0 버전에서 product-type 파라미터를 통해 쉘 명령어를 주입하여 임의의 PHP 코드를 실행할 수 있는 원격 코드 실행(RCE) 취약점이 발견되었습니다. 공격자는 검증되지 않은 값을 class-wc-meta-box-product-images.php 엔드포인트로 전송하여 웹 루트 디렉토리에 악성 PHP 파일을 생성할 수 있습니다.
💡 쉬운 설명
쇼핑몰 관리 프로그램인 WooCommerce의 특정 설정값에 악성 명령어를 입력하여 해커가 서버를 마음대로 조종할 수 있는 문제입니다. 이를 통해 해커는 서버에 몰래 파일을 심거나 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
WooCommerce 7.1.0 contains a remote code execution vulnerability that allows attackers to execute arbitrary PHP code by injecting shell commands through the product-type parameter. Attackers can send requests to the class-wc-meta-box-product-images.php endpoint with unsanitized product-type values to write malicious PHP files to the web root.
📍 영향받는 시스템
WooCommerce 7.1.0 이하 버전
⚔️ 공격 벡터
class-wc-meta-box-product-images.php 엔드포인트의 product-type 파라미터에 쉘 명령어 주입
🛡️ 대응 방법
WooCommerce를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 WooCommerce의 버전을 확인하여 7.1.0 이하인지 체크합니다.
wp plugin list --allow-root | grep -E 'woocommerce'