🔍 CVE-2026-116866

8.8
CVSS Score
HIGH
2026-10-29
2026-10-29 16:20
✅ 완료

🇰🇷 한글 설명

WooCommerce용 Extra Fees 플러그인 4.4.0 이하 버전에서 기여자(Contributor) 권한을 가진 사용자가 PHP 객체 주입(PHP Object Injection) 취약점을 악용할 수 있습니다. 이를 통해 임의의 PHP 객체가 역직렬화되어 원격 코드 실행 등 심각한 피해로 이어질 수 있습니다.

💡 쉬운 설명

쇼핑몰에 추가 요금을 설정하는 플러그인에 보안 결함이 있어, 낮은 권한의 사용자도 시스템을 조작할 수 있습니다. 해커가 이를 이용하면 사이트 전체를 장악할 위험이 있습니다.

🇺🇸 원문 (English)

Contributor PHP Object Injection in Extra Fees Plugin for WooCommerce <= 4.4.0 versions.

📍 영향받는 시스템

WooCommerce용 Extra Fees 플러그인 4.4.0 이하 버전을 사용하는 WordPress 사이트

⚔️ 공격 벡터

기여자(Contributor) 이상 권한의 계정을 획득한 공격자가 조작된 직렬화 데이터를 플러그인에 전달하여 PHP 객체 주입을 유발

🛡️ 대응 방법

Extra Fees 플러그인을 4.4.0보다 높은 최신 버전으로 즉시 업데이트하고, 불필요한 기여자 계정을 점검 및 제거

🔧 검증 코드

출력된 버전이 4.4.0 이하이면 취약하므로 즉시 업데이트가 필요하며, 4.4.0을 초과하면 패치된 것입니다.

Shell / Script 
wp plugin list --name=woo-extra-fees --fields=name,version,status 2>/dev/null || grep -i 'Version' wp-content/plugins/*/readme.txt 2>/dev/null | grep -i 'extra fees'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP