🇰🇷 한글 설명
WordPress의 Grid Plus 플러그인 1.3.3 이하 버전에서 숏코드 속성을 통한 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 이를 통해 구독자 권한 이상의 공격자가 서버의 임의 파일을 포함하고 PHP 코드를 실행할 수 있습니다. 이는 민감한 데이터 탈취나 시스템 접근 제어 우회로 이어질 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 플러그인에 결함이 있어, 일반 사용자가 서버 내부의 비밀 파일을 훔쳐보거나 나쁜 명령어를 실행할 수 있는 문제입니다. 쉽게 말해, 잠기지 않은 뒷문을 통해 누구나 집안의 중요한 서류를 읽거나 조작할 수 있는 상태입니다.
🇺🇸 원문 (English)
The Grid Plus plugin for WordPress is vulnerable to Local File Inclusion in versions up to, and including, 1.3.3 via a shortcode attribute. This allows subscriber-level, and above, attackers to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where PHP files with arbitrary content can be uploaded and included.
📍 영향받는 시스템
WordPress Grid Plus 플러그인 1.3.3 및 그 이하 버전
⚔️ 공격 벡터
숏코드 속성 조작을 통한 로컬 파일 포함(LFI) 공격
🛡️ 대응 방법
Grid Plus 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과로 1.3.3 이하의 버전 번호가 출력되면 취약한 상태입니다.
grep "Version:" wp-content/plugins/grid-plus/*.php | grep -E '1\.[0-3]\.[0-3]'