🇰🇷 한글 설명
Ninja Tables Pro 5.2.11 버전에서 폐기된 업데이트 서버를 통해 변조된 플러그인 빌드가 배포되어 악성 코드가 포함되었습니다. 이 취약점은 백도어 REST API를 생성하고, 관리자 계정을 생성하며, 플러그인 삭제 후에도 지속되는 스케줄된 작업을 등록합니다.
💡 쉬운 설명
해커가 정상적인 업데이트 서버를 가로채서 악성 코드가 담긴 가짜 프로그램을 설치하게 만든 사건입니다. 이 코드가 설치되면 해커가 내 웹사이트의 관리자 권한을 마음대로 휘두를 수 있습니다.
🇺🇸 원문 (English)
Ninja Tables Pro 5.2.11 contains an embedded malicious code vulnerability introduced via a tampered plugin build served through a decommissioned update server. The tampered build introduced a rogue PHP file (app/Library/updater/NinjaTableDataSync.php) that established a backdoor REST API endpoint, dropped persistent PHP files in mu-plugins and uploads directories, installed a passwordless administrator account, and registered scheduled tasks that survived plugin removal.
📍 영향받는 시스템
Ninja Tables Pro 5.2.11
⚔️ 공격 벡터
변조된 업데이트 서버를 통한 악성 플러그인 빌드 배포 (Supply Chain Attack)
🛡️ 대응 방법
해당 플러그인을 즉시 삭제하고, mu-plugins 및 uploads 디렉토리 내 의심스러운 PHP 파일을 제거한 후 보안 점검을 실시하십시오.
🔧 검증 코드
명령어 실행 결과로 NinjaTableDataSync.php 파일이나 의심스러운 PHP 파일 경로가 출력되면 감염된 상태입니다.
find wp-content/mu-plugins wp-content/uploads -name 'NinjaTableDataSync.php' -o -name '*.php'