CVE-2026-8365

WordPress의 Blocksy 테마는 'blocksy_meta' REST API 필드를 통한 원격 코드 실행으로 이어지는 PHP 개체 주입과 2.1.35 이하 버전의 V200 데이터베이스 마이그레이션에 취약합니다. 이는 '<' 또는 '>'가 포함된 값만 차단하고 직렬화된 PHP 객체 문자열이 포스트 메타에 저장되는 것을 방지하지 않는 blocky_sanitize_post_meta_options() 함수의 입력 삭제가 충분하지 않기 때문입니다. SearchReplacer::run_recursively() 함수와 결합되어 허용되는 클래스를 제한하지 않고 마이그레이션 중에 @unserialize()를 통해 모든 문자열 값을 무조건 역직렬화합니다. 이를 통해 기여자 수준 이상의 액세스 권한을 가진 인증된 공격자가 직렬화된 Blocksy\RaiiPattern 개체를 포스트 메타에 주입할 수 있습니다. 이 개체는 V200 마이그레이션이 업그레이드된 사이트에서 실행될 때 역직렬화되고 call_user_func()를 통해 임의의 PHP 호출 가능 항목을 실행하는 RaiiPattern::__destruct()를 트리거합니다.