🇰🇷 한글 설명
WordPress용 The Events Calendar 플러그인의 parse_array 함수에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 공격자가 조작된 위젯 데이터를 통해 is_safe_widget_instance() 검사를 우회하고 서버에서 임의의 코드를 실행할 수 있습니다. 이 공격은 댓글 기능이 활성화되어 있고 특정 블록이 포함된 댓글이 제출되었을 때 트리거됩니다.
💡 쉬운 설명
해커가 특수하게 제작된 댓글을 남김으로써 웹사이트 서버를 마음대로 조종할 수 있는 매우 위험한 보안 구멍입니다. 댓글창이 열려 있는 사이트라면 인증되지 않은 외부인도 서버에 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
The The Events Calendar plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 6.17.3 via the parse_array function. This is due to insufficient validation of the widget 'classes' map, allowing a plain-array payload to bypass the is_safe_widget_instance() object check and reach the callable-invocation sink in Element_Classes::parse_array(). This makes it possible for unauthenticated attackers to execute code on the server. Exploitation requires that the targeted site has comments enabled on tribe_events posts and that at least one comment containing a crafted wp:legacy-widget block has been submitted, as the attack chain is triggered when do_blocks() processes the single-event HTML including the comment area.
📍 영향받는 시스템
The Events Calendar plugin for WordPress (버전 6.17.3 및 그 이하 모든 버전)
⚔️ 공격 벡터
조작된 wp:legacy-widget 블록이 포함된 댓글을 제출하여 do_blocks() 함수를 통해 코드 실행 유도
🛡️ 대응 방법
The Events Calendar 플러그인을 최신 보안 패치 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 플러그인 이름과 현재 설치된 버전을 확인하여 6.17.3 이하인지 체크합니다.
wp plugin list --status=active | grep 'the-events-calendar'