CVE-2022-3342 in Jetpack CRM Plugin
요약
\~에 의해 VulDB • 2026. 06. 08.
WordPress용 Jetpack CRM 플러그인은 5.3.1 버전(해당 버전 포함) 이하에서 'zeroBSCRM_CSVImporterLitehtml_app' 함수의 ‘zbscrmcsvimpf’ 매개변수를 통해 PHAR 역직렬화 취약점이 존재합니다. 해당 함수는 nonce 검사를 수행하지만, 검사 실패 시 단계 2와 3에서는 아무런 조치도 취하지 않습니다. 이후 이 단계들은 'zbscrmcsvimpf' 값에 대해 'file_exists' 검사를 수행합니다. 만약 phar:// 아카이브가 제공되면 그 내용이 역직렬화되어 실행 스트림에 객체가 주입됩니다. 이를 통해 공격자가 사이트에서 이미지 업로드를 지원하는 경우와 같이 PHAR 아카이브를 업로드할 수 있고, 관리자를 속여 링크 클릭과 같은 작업을 수행하도록 유도한다면 인증되지 않은 상태에서도 객체 주입(Object Injection)을 달성할 수 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.