🇰🇷 한글 설명
WordPress Advanced Custom Fields (ACF) 플러그인 3.5.1 이하 버전의 core/actions/export.php에 원격 파일 포함(RFI) 취약점이 존재합니다. allow_url_include PHP 설정이 활성화된 경우, 미인증 공격자가 acf_abspath POST 파라미터를 조작하여 임의의 원격 PHP 코드를 실행할 수 있으며, 이를 통해 웹 서버 권한으로 완전한 호스트 침탈이 가능합니다.
💡 쉬운 설명
WordPress Advanced Custom Fields 플러그인의 오래된 버전에서 공격자가 원격 악성 코드를 로드하여 실행할 수 있습니다. 이를 통해 웹사이트와 서버가 완전히 장악될 수 있습니다.
🇺🇸 원문 (English)
The WordPress plugin Advanced Custom Fields (ACF) version 3.5.1 and below contains a remote file inclusion (RFI) vulnerability in core/actions/export.php. When the PHP configuration directive allow_url_include is enabled (default: Off), an unauthenticated attacker can exploit the acf_abspath POST parameter to include and execute arbitrary remote PHP code. This leads to remote code execution under the web server’s context, allowing full compromise of the host.
📍 영향받는 시스템
Advanced Custom Fields (ACF) plugin version <= 3.5.1
⚔️ 공격 벡터
POST 요청의 acf_abspath 파라미터에 원격 악성 파일 URL을 주입하여 RCE 달성
🛡️ 대응 방법
ACF 플러그인을 3.5.2 이상으로 업데이트하고 PHP allow_url_include 설정을 Off로 변경
🔧 검증 코드
반환된 버전 번호가 3.5.1 이하인지 확인하세요. 3.5.1 이하면 취약점이 존재하므로 즉시 업데이트가 필요합니다.
grep -i 'Version:' wp-content/plugins/advanced-custom-fields/acf.php 2>/dev/null | grep -oP '\d+\.\d+\.\d+'