🇰🇷 한글 설명
Oxygen Builder 플러그인 4.8.2 이하 버전에서 post metadata에 언더스코어 접두사 없이 저장된 custom data를 통해 원격 코드 실행(RCE)이 가능합니다. contributor 등 낮은 권한의 사용자가 WordPress 관리자 인터페이스를 통해 임의의 PHP 코드를 주입하여 권한 상승 공격을 수행할 수 있습니다.
💡 쉬운 설명
WordPress 플러그인의 보안 결함으로 인해 기본 권한의 사용자가 악성 코드를 실행할 수 있습니다. 공격자는 이를 통해 웹사이트를 완전히 제어할 수 있게 됩니다.
🇺🇸 원문 (English)
The Oxygen Builder plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 4.8.2 via post metadata. This is due to the plugin storing custom data in post metadata without an underscore prefix. This makes it possible for lower privileged users, such as contributors, to inject arbitrary PHP code via the WordPress user interface and gain elevated privileges.
📍 영향받는 시스템
Oxygen Builder for WordPress version 4.8.2 and earlier
⚔️ 공격 벡터
Post metadata injection via WordPress admin interface by contributor-level users
🛡️ 대응 방법
Oxygen Builder plugin을 version 4.8.3 이상으로 업그레이드
🔧 검증 코드
버전 번호가 4.8.2 이하이면 취약점이 있으며, 4.8.3 이상이면 보안 패치가 적용된 상태입니다.
find /var/www -name oxygen.php 2>/dev/null | xargs grep -h '^Version:' | head -1