🇰🇷 한글 설명
Fluent Forms 플러그인의 parseUserProperties 함수에서 PHP Object 역직렬화 취약점이 발생하여 인증된 사용자가 PHP 객체를 주입할 수 있습니다. POP chain을 활용하면 임의 파일 읽기가 가능하며, allow_url_include 활성화 시 원격 코드 실행까지 가능합니다.
💡 쉬운 설명
WordPress의 Fluent Forms 플러그인에 보안 허점이 있어서 로그인한 사용자가 악의적인 데이터를 보낼 수 있습니다. 서버 설정에 따라 파일을 읽거나 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
The Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder plugin for WordPress is vulnerable to PHP Object Injection in versions 5.1.16 to 6.1.1 via deserialization of untrusted input in the parseUserProperties function. This makes it possible for authenticated attackers, with Subscriber-level access and above, to inject a PHP Object. The additional presence of a POP chain allows attackers to read arbitrary files. If allow_url_include is enabled on the server, remote code execution is possible.
While the vendor patched this issue in version 6.1.0, the patch caused a fatal error in the vulnerable code, due to a missing class import, so we consider 6.1.2 to be the most complete and best patched version
📍 영향받는 시스템
WordPress Fluent Forms 플러그인 5.1.16 ~ 6.1.1 버전
⚔️ 공격 벡터
인증된 사용자(Subscriber 이상)가 parseUserProperties 함수로 악의적인 직렬화된 PHP 객체를 전송하여 POP chain 실행
🛡️ 대응 방법
Fluent Forms 플러그인을 6.1.2 이상으로 업그레이드
🔧 검증 코드
명령어 결과에서 Version: 다음 버전 번호를 확인하고, 6.1.2 미만이면 즉시 업그레이드 필요
find /var/www/html -name "fluent-forms.php" 2>/dev/null -exec head -30 {} \; | grep Version | head -1