🇰🇷 한글 설명
WordPress Coding Standards의 WordPress.WP.EnqueuedResourceParameters 스니프가 wp_enqueue_script()의 $ver 인자를 처리하는 과정에서 eval() 함수를 사용하여 임의의 코드를 실행할 수 있는 취약점이 발견되었습니다. 이로 인해 신뢰할 수 없는 PHP 코드를 검사하는 CI 파이프라인이나 개발 환경에서 공격자가 의도한 명령어가 실행될 수 있습니다.
💡 쉬운 설명
코딩 규칙을 검사하는 도구가 검사 대상 코드에 포함된 악성 명령어를 실수로 실행해버리는 보안 결함입니다. 검사 도구가 나쁜 코드를 읽다가 오히려 해커의 명령을 수행하게 되어 컴퓨터가 해킹당할 수 있습니다.
🇺🇸 원문 (English)
WordPress Coding Standards is a set of PHP_CodeSniffer rules (sniffs) that enforce WordPress coding conventions. From 0.14.1 until 3.4.1, the WordPress.WP.EnqueuedResourceParameters sniff (active in the WordPress and WordPress-Extra rulesets) reconstructed the $ver argument passed to functions such as wp_enqueue_script() and ran it through eval() inside its is_falsy() method, so a maliciously crafted argument such as 'system'('id') would execute during a scan; as a result, running PHPCS with WordPressCS over untrusted PHP (for example a CI pipeline that lints pull requests, or a developer reviewing third-party code) could lead to arbitrary command execution on the scanning host. The WordPress-Core and WordPress-Docs rulesets are not affected. This issue is fixed in version 3.4.1.
📍 영향받는 시스템
WordPress Coding Standards (WordPressCS) version 0.14.1 ~ 3.4.0
⚔️ 공격 벡터
악의적으로 조작된 PHP 코드의 함수 인자(예: system('id'))를 포함하여 PHPCS 검사를 수행함으로써 원격 명령 실행(RCE) 유도
🛡️ 대응 방법
WordPress Coding Standards를 최신 버전인 3.4.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.4.1 미만인 경우 해당 취약점에 노출된 상태입니다.
composer show squizlabs/wordpress-coding-standards | grep 'versions'