🔍 CVE-2026-118073

8.8
CVSS Score
HIGH
2026-10-29
2026-10-29 16:20
✅ 완료

🇰🇷 한글 설명

News Kit Elementor Addons 플러그인 1.5.0 이하 버전에 구독자(Subscriber) 권한을 가진 사용자가 PHP 객체 주입(PHP Object Injection)을 수행할 수 있는 취약점이 존재합니다. 이를 통해 임의의 코드 실행이나 민감한 데이터 조작이 가능할 수 있습니다.

💡 쉬운 설명

가장 낮은 권한의 일반 회원 계정으로도 사이트 내부 동작을 조작할 수 있는 보안 결함입니다. 해커가 이를 악용하면 사이트 데이터가 유출되거나 서버가 장악될 수 있습니다.

🇺🇸 원문 (English)

Subscriber PHP Object Injection in News Kit Elementor Addons <= 1.5.0 versions.

📍 영향받는 시스템

WordPress News Kit Elementor Addons 플러그인 1.5.0 이하 버전이 설치된 웹사이트

⚔️ 공격 벡터

구독자 권한 계정으로 로그인한 뒤, 취약한 엔드포인트에 조작된 직렬화(serialized) PHP 객체를 전송하여 원격 코드 실행 또는 데이터 조작을 시도

🛡️ 대응 방법

News Kit Elementor Addons 플러그인을 1.5.0보다 높은 패치 버전으로 즉시 업데이트하고, 불필요한 구독자 계정을 점검합니다.

🔧 검증 코드

출력된 version 값이 1.5.0 이하이면 취약하며, 1.5.0보다 높은 버전이면 패치가 적용된 상태입니다.

Shell / Script 
wp plugin list --name=news-kit-elementor-addons --fields=name,version,status 2>/dev/null

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP