🇰🇷 한글 설명
WooCommerce Subscriptions 9.1.0 미만 버전에서 High-Performance Order Storage가 활성화된 경우 사용자 입력을 검증 없이 역직렬화하여 PHP 객체 주입 취약점이 발생합니다. 인증되지 않은 공격자가 번들된 종속성의 가젯 체인을 이용해 원격 코드 실행(RCE)까지 수행할 수 있습니다.
💡 쉬운 설명
해커가 인증 없이도 웹사이트에 악성 명령을 내려 서버를 완전히 장악할 수 있는 매우 위험한 보안 결함입니다. 쇼핑몰 플러그인의 데이터 처리 과정에서 발생하는 허점을 이용합니다.
🇺🇸 원문 (English)
The WooCommerce Subscriptions WordPress plugin before 9.1.0 does not validate user input before unserializing it on stores with High-Performance Order Storage enabled, leading to a PHP Object Injection issue which unauthenticated users can escalate to Remote Code Execution via a gadget chain present in the bundled dependencies.
📍 영향받는 시스템
WooCommerce Subscriptions plugin version < 9.1.0 (with HPOS enabled)
⚔️ 공격 벡터
인증되지 않은 사용자가 조작된 데이터를 전송하여 PHP 객체 주입을 통한 원격 코드 실행
🛡️ 대응 방법
WooCommerce Subscriptions 플러그인을 9.1.0 이상의 최신 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 버전 정보가 9.1.0 미만인지 확인하십시오.
wp plugin list --status=active | grep -E 'woocommerce-subscriptions'