🇰🇷 한글 설명
WordPress Allwebmenus 플러그인 1.1.3의 actions.php 파일에서 abspath 매개변수를 통한 PHP 원격 파일 포함(RFI) 취약점이 존재한다. 공격자가 조작된 URL을 전송하여 임의의 PHP 코드를 원격으로 실행할 수 있으며, 이는 서버 전체 제어로 이어질 수 있다.
💡 쉬운 설명
WordPress의 Allwebmenus 플러그인이 외부 파일 경로를 제대로 검증하지 않아, 해커가 악성 코드가 담긴 파일을 실행시킬 수 있습니다. 이를 통해 웹사이트를 완전히 장악하고 사용자 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in actions.php in the Allwebmenus plugin 1.1.3 for WordPress allows remote attackers to execute arbitrary PHP code via a URL in the abspath parameter.
📍 영향받는 시스템
WordPress Allwebmenus plugin version 1.1.3 and earlier
⚔️ 공격 벡터
Remote attacker sends crafted URL with malicious file path in abspath parameter to actions.php to execute arbitrary PHP code
🛡️ 대응 방법
Update Allwebmenus plugin to version 1.1.4 or later, or immediately deactivate and delete the plugin
🔧 검증 코드
Version 1.1.3 이하 출력 = 취약함 / 1.1.4 이상 또는 'Plugin not found' = 안전함
grep -E '^Version:' /var/www/html/wp-content/plugins/allwebmenus/allwebmenus.php 2>/dev/null || echo 'Plugin not found'