🇰🇷 한글 설명
WordPress 플러그인인 Spectra Gutenberg Blocks의 2.19.25 이하 모든 버전에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 두 개의 특수 블록 페이로드를 게시물 콘텐츠에 삽입하여 서버에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
워드프레스의 특정 디자인 도구 플러그인에 보안 구멍이 있어, 권한이 있는 사용자가 악성 코드를 심을 수 있습니다. 이를 통해 해커가 웹사이트 서버를 마음대로 조종할 위험이 있습니다.
🇺🇸 원문 (English)
The Spectra Gutenberg Blocks – Website Builder for the Block Editor plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 2.19.25. This makes it possible for authenticated attackers, with Contributor-level access and above, to execute code on the server. Exploitation requires a two-block payload embedded in post content: the first block registers a fake uagb/-prefixed block type with an attacker-specified render_callback, and the second block of the same fake type triggers invocation of that callback via call_user_func() during sequential block rendering in the same page request.
📍 영향받는 시스템
Spectra Gutenberg Blocks – Website Builder for the Block Editor plugin (버전 2.19.25 이하)
⚔️ 공격 벡터
인증된 공격자가 게시물 내에 조작된 두 개의 블록 페이로드를 삽입하여 서버의 call_user_func() 함수를 악용함
🛡️ 대응 방법
Spectra Gutenberg Blocks 플러그인을 최신 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.19.25보다 높은지 확인하십시오.
wp plugin list --status=active | grep -i 'spectra' && wp plugin list --format=json | jq '.[] | select(.name == "spectra-gutenberg-blocks") | .version'