🇰🇷 한글 설명
ShiftController Employee Shift Scheduling 플러그인의 hc3_session 쿠키를 통한 PHP 역직렬화 취약점으로, 인증된 공격자(Contributor 이상 권한)가 악의적인 PHP 객체를 주입할 수 있습니다. 추가 플러그인/테마의 POP chain 존재 시 임의 파일 삭제, 민감 정보 탈취, 코드 실행이 가능합니다.
💡 쉬운 설명
WordPress의 ShiftController 플러그인에서 로그인한 사용자가 특별한 쿠키를 조작해 악의적인 코드를 실행할 수 있는 보안 결함입니다. 다른 플러그인과 함께 설치된 경우 서버의 파일을 삭제하거나 중요한 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
The ShiftController Employee Shift Scheduling plugin is vulnerable to PHP Object Injection via deserialization of untrusted input via the `hc3_session`-cookie in versions up to, and including, 4.9.57. This makes it possible for an authenticated attacker with contributor access-level or above to inject a PHP Object. No POP chain is present in the vulnerable plugin. If a POP chain is present via an additional plugin or theme installed on the target system, it could allow the attacker to delete arbitrary files, retrieve sensitive data, or execute code.
📍 영향받는 시스템
ShiftController Employee Shift Scheduling plugin versions up to and including 4.9.57
⚔️ 공격 벡터
Authenticated attacker with contributor-level or above access injects malicious PHP objects through hc3_session cookie deserialization
🛡️ 대응 방법
Update ShiftController plugin to version 4.9.58 or later
🔧 검증 코드
버전이 4.9.57 이하이면 취약 상태; 4.9.58 이상이면 패치됨; 플러그인이 없으면 해당 취약점으로부터 안전
find /wp-content/plugins -name '*shiftcontroller*' -type d 2>/dev/null | xargs -I {} grep -H 'Version:' {}/shiftcontroller.php 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'