🇰🇷 한글 설명
WordPress의 Hotel Booking Lite 플러그인 4.11.1 버전까지는 신뢰할 수 없는 입력의 역직렬화를 통한 PHP 객체 주입 취약점이 존재합니다. 인증되지 않은 공격자가 악의적인 PHP 객체를 주입할 수 있으며, 다른 플러그인이나 테마의 POP 체인이 있으면 파일 삭제, 데이터 탈취, 코드 실행 등의 피해가 발생합니다.
💡 쉬운 설명
WordPress의 Hotel Booking Lite 플러그인에서 누구나 특수 제작된 데이터를 보내 서버를 공격할 수 있는 보안 결함이 있습니다. 다른 취약한 플러그인이 함께 설치되어 있으면 서버가 완전히 장악될 수 있습니다.
🇺🇸 원문 (English)
The Hotel Booking Lite plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 4.11.1 via deserialization of untrusted input. This makes it possible for unauthenticated attackers to inject a PHP Object. No known POP chain is present in the vulnerable plugin. If a POP chain is present via an additional plugin or theme installed on the target system, it could allow the attacker to delete arbitrary files, retrieve sensitive data, or execute code.
📍 영향받는 시스템
Hotel Booking Lite WordPress plugin versions up to and including 4.11.1
⚔️ 공격 벡터
Unauthenticated attacker sends malicious serialized PHP objects to the plugin's deserialization endpoint
🛡️ 대응 방법
Update Hotel Booking Lite plugin to version 4.11.2 or later immediately
🔧 검증 코드
플러그인이 설치된 경우 버전 번호 출력되므로 4.11.1 이하인지 확인; 설치되지 않으면 'Plugin not installed' 메시지 표시
grep -r "Version:" /var/www/html/wp-content/plugins/hotel-booking-lite/ 2>/dev/null | head -1 || echo "Plugin not installed"