🇰🇷 한글 설명
Hubbub Lite 플러그인의 dpsp_maybe_unserialize 함수에서 신뢰할 수 없는 입력을 역직렬화하여 PHP 객체 주입 취약점이 발생합니다. 기여자 이상의 권한을 가진 인증된 공격자가 악의적인 PHP 객체를 주입할 수 있으며, 추가 플러그인/테마의 POP 체인이 있으면 파일 삭제, 정보 유출, 코드 실행이 가능합니다.
💡 쉬운 설명
WordPress 플러그인에서 데이터 저장 시 악의적인 코드가 숨겨질 수 있는 보안 결함이 있습니다. 이를 악용하면 파일 삭제, 민감한 정보 접근, 심지어 서버 제어까지 가능합니다.
🇺🇸 원문 (English)
The Hubbub Lite – Fast, Reliable Social Sharing Buttons plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 1.33.1 via deserialization of untrusted input via the 'dpsp_maybe_unserialize' function. This makes it possible for authenticated attackers, with contributor access and above, to inject a PHP Object. No POP chain is present in the vulnerable plugin. If a POP chain is present via an additional plugin or theme installed on the target system, it could allow the attacker to delete arbitrary files, retrieve sensitive data, or execute code.
📍 영향받는 시스템
Hubbub Lite 플러그인 버전 1.33.1 이하 (WordPress)
⚔️ 공격 벡터
WordPress 기여자 이상 권한 보유 인증된 공격자가 역직렬화 취약점을 통해 PHP 객체 주입 수행
🛡️ 대응 방법
Hubbub Lite 플러그인을 최신 버전으로 업그레이드하거나 필요 없으면 플러그인 비활성화/제거
🔧 검증 코드
설치된 플러그인 파일의 Version 정보를 읽어 1.33.1 이하인지 확인, 플러그인 미설치 시 'not found' 표시
grep 'Version' /var/www/html/wp-content/plugins/hubbub-lite/hubbub-lite.php 2>/dev/null | head -1