🔍 CVE-2026-116868

8.8
CVSS Score
HIGH
2026-10-29
2026-10-29 20:17
✅ 완료

🇰🇷 한글 설명

BuddyPress Xprofile Custom Field Types 플러그인 1.3.1 이하 버전에서 구독자(Subscriber) 권한을 가진 사용자가 PHP 객체 주입(PHP Object Injection) 취약점을 악용할 수 있습니다. 이를 통해 임의의 PHP 객체가 역직렬화되어 원격 코드 실행 등 심각한 위험이 발생할 수 있습니다.

💡 쉬운 설명

웹사이트에 가장 낮은 권한으로 가입한 일반 회원도 특수하게 조작된 데이터를 보내 서버를 장악할 수 있는 문제입니다. 공격자가 서버의 동작을 바꾸거나 민감한 정보를 빼낼 수 있습니다.

🇺🇸 원문 (English)

Subscriber PHP Object Injection in BuddyPress Xprofile Custom Field Types <= 1.3.1 versions.

📍 영향받는 시스템

WordPress 기반 BuddyPress Xprofile Custom Field Types 플러그인 1.3.1 이하 버전

⚔️ 공격 벡터

구독자 권한으로 로그인한 공격자가 프로필 필드 관련 요청에 악성 직렬화 PHP 객체를 삽입하여 전송

🛡️ 대응 방법

BuddyPress Xprofile Custom Field Types 플러그인을 1.3.1보다 높은 최신 버전으로 즉시 업데이트하거나, 취약 버전이면 비활성화 후 제거

🔧 검증 코드

출력된 버전 번호가 1.3.1 이하이면 취약하므로 즉시 업데이트가 필요하며, 1.3.1보다 높으면 패치된 버전입니다. 아무 결과도 없으면 해당 플러그인이 설치되지 않은 것입니다.

Shell / Script 
wp plugin list --name=xprofile-custom-field-types --field=version 2>/dev/null || grep -r "Version:" wp-content/plugins/xprofile-custom-field-types/*.php 2>/dev/null | head -1

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP