🇰🇷 한글 설명
Lucky Wheel for WooCommerce WordPress 플러그인이 'Conditional Tags' 설정에서 사용자 입력을 eval() 함수로 검증 없이 실행하는 PHP Code Injection 취약점입니다. 인증된 관리자 권한의 공격자가 임의의 PHP 코드를 서버에서 실행할 수 있으며, 멀티사이트 환경에서는 사이트 관리자가 본래 접근할 수 없는 파일 편집 권한까지 확대됩니다.
💡 쉬운 설명
WordPress 플러그인이 관리자가 입력한 설정값을 그대로 코드로 실행해버리는 문제입니다. 관리자 권한의 공격자는 악의적인 PHP 코드를 서버에서 실행시킬 수 있습니다.
🇺🇸 원문 (English)
The Lucky Wheel for WooCommerce – Spin a Sale plugin for WordPress is vulnerable to PHP Code Injection in all versions up to, and including, 1.1.13. This is due to the plugin using eval() to execute user-supplied input from the 'Conditional Tags' setting without proper validation or sanitization. This makes it possible for authenticated attackers, with Administrator-level access and above, to execute arbitrary PHP code on the server. In WordPress multisite installations, this allows Site Administrators to execute arbitrary code, a capability they should not have since plugin/theme file editing is disabled for non-Super Admins in multisite environments.
📍 영향받는 시스템
Lucky Wheel for WooCommerce plugin 버전 1.1.13 이하 (WordPress)
⚔️ 공격 벡터
인증된 Administrator 이상 권한의 사용자가 'Conditional Tags' 설정에 PHP 코드를 입력하여 실행
🛡️ 대응 방법
플러그인을 1.1.14 이상으로 즉시 업데이트하거나 불필요한 관리자 권한 부여 제한
🔧 검증 코드
Version: X.X.X 형식으로 표시되며, 1.1.13 이하면 취약하므로 플러그인 업데이트 필요
grep -h 'Version:' /var/www/html/wp-content/plugins/lucky-wheel*/lucky-wheel*.php 2>/dev/null | head -1