🔍 CVE-2026-116867

8.8
CVSS Score
HIGH
2026-10-29
2026-10-29 18:17
✅ 완료

🇰🇷 한글 설명

Dynamic QR Code – generator 플러그인 1.0.1 이하 버전에는 기여자(Contributor) 권한 사용자가 PHP 객체 주입을 유발할 수 있는 취약점이 존재합니다. 이를 통해 공격자는 서버에서 임의의 PHP 코드를 실행하거나 데이터를 조작할 수 있습니다.

💡 쉬운 설명

이 취약점은 웹사이트에서 글을 작성할 수 있는 일반 사용자가 악의적인 데이터를 넣어 서버를 장악할 수 있게 만듭니다. 플러그인을 최신 버전으로 업데이트하지 않으면 사이트 전체가 위험해질 수 있습니다.

🇺🇸 원문 (English)

Contributor PHP Object Injection in Dynamic QR Code &#8211; generator <= 1.0.1 versions.

📍 영향받는 시스템

WordPress용 Dynamic QR Code – generator 플러그인 1.0.1 이하 버전

⚔️ 공격 벡터

Contributor 이상 권한을 가진 계정으로 로그인한 뒤, 조작된 직렬화 PHP 객체를 플러그인 입력값으로 전송하여 객체 주입을 유발

🛡️ 대응 방법

플러그인을 취약점이 수정된 최신 버전으로 즉시 업데이트하고, 불필요한 Contributor 계정을 점검 및 제한

🔧 검증 코드

출력 결과에 버전 1.0.1 이하 표기가 나타나면 취약한 버전이 설치된 것이므로 즉시 업데이트가 필요하며, 아무 결과도 없으면 해당 경로에 취약 버전이 없는 것입니다.

Shell / Script 
grep -rE "Version:\s*1\.0\.[0-1]\b" /var/www/html/wp-content/plugins/dynamic-qr-code*/ 2>/dev/null

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP