🇰🇷 한글 설명
6.0.13 미만 버전의 Kirki WordPress 플러그인은 인증되지 않은 사용자가 저장한 데이터를 역직렬화할 때 클래스 인스턴스화를 제한하지 않아 PHP 객체 주입(Object Injection) 취약점이 발생합니다. 관리자가 저장된 데이터를 검토할 때 이 취약점이 트리거될 수 있으며, 적절한 가젯 체인이 존재할 경우 원격 코드 실행(RCE)과 같은 다양한 공격으로 이어질 수 있습니다.
💡 쉬운 설명
해커가 몰래 저장해둔 악성 코드가 관리자가 해당 데이터를 확인하는 순간 실행될 수 있는 보안 구멍입니다. 이를 통해 해커가 웹사이트를 마음대로 조종하거나 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
The Kirki WordPress plugin before 6.0.13 does not restrict which classes may be instantiated when it deserialises data that unauthenticated users can store, leading to PHP Object Injection that is triggered when an administrator later reviews the stored data. With a suitable gadget chain present on the site (via another installed Kirki WordPress plugin before 6.0.13, , or an outdated WordPress version), this could be leveraged to perform a variety of attacks, such as remote code execution.
📍 영향받는 시스템
Kirki WordPress plugin version < 6.0.13
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 데이터를 저장한 후, 관리자가 이를 조회할 때 발생하는 PHP 객체 주입 공격
🛡️ 대응 방법
Kirki WordPress 플러그인을 최신 버전인 6.0.13 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 kirki 플러그인의 버전이 6.0.13 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'kirki'