🇰🇷 한글 설명
Appointment Booking Calendar 및 Scheduling WordPress 플러그인 1.1.28 이하 버전에서 데이터 검증 미흡으로 인한 PHP 역직렬화 취약점이 발견되었습니다. 인증되지 않은 공격자가 임의의 PHP 객체를 주입할 수 있으며, 사이트에 적절한 가젯 체인이 존재할 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다.
💡 쉬운 설명
플러그인이 외부 데이터를 안전하지 않게 처리하여 해커가 서버에 몰래 명령을 내릴 수 있는 보안 구멍이 있습니다. 이를 통해 해커가 웹사이트의 제어권을 완전히 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
The Appointment Booking Calendar Plugin and Scheduling Plugin WordPress plugin through 1.1.28 does not validate data before passing it to a PHP deserialization function, allowing unauthenticated attackers to inject arbitrary PHP objects; where a suitable gadget chain is present on the site this can be leveraged to achieve remote code execution.
📍 영향받는 시스템
WordPress Appointment Booking Calendar 및 Scheduling Plugin 1.1.28 이하 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 데이터를 PHP 역직렬화 함수로 전달하여 원격 코드 실행
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치 여부를 확인하고, 설치된 버전이 1.1.28 이하인지 체크하십시오.
wp plugin list --allow-root | grep -E 'appointment-booking|scheduling'