🇰🇷 한글 설명
DM Albums 1.9.2의 template/album.php에서 SECURITY_FILE 매개변수를 통한 원격 파일 포함(RFI) 취약점입니다. 인증 없이 원격 공격자가 임의의 PHP 코드를 실행할 수 있으며, WordPress 플러그인으로도 사용됩니다.
💡 쉬운 설명
DM Albums 사진 관리 프로그램에서 공격자가 악성 코드를 실행하도록 할 수 있는 심각한 보안 결함입니다. 로그인 없이도 누구나 공격할 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in template/album.php in DM Albums 1.9.2, as used standalone or as a WordPress plugin, allows remote attackers to execute arbitrary PHP code via a URL in the SECURITY_FILE parameter.
📍 영향받는 시스템
DM Albums 1.9.2 (standalone version and WordPress plugin)
⚔️ 공격 벡터
Sending a malicious URL with PHP code in the SECURITY_FILE parameter to template/album.php
🛡️ 대응 방법
Update to a patched version or disable/remove the vulnerable installation
🔧 검증 코드
버전이 1.9.2 이하이면 취약하며, 파일이 발견되면 해당 경로의 album.php는 RFI 공격에 노출되어 있습니다.
grep -oP 'Version:\s*\K[0-9.]+' /wp-content/plugins/dm-albums/dm-albums.php 2>/dev/null || find /var/www -name 'album.php' -path '*dm-albums*' 2>/dev/null | head -1