🇰🇷 한글 설명
WordPress의 Swift Performance Lite 플러그인 'ajaxify' 함수에서 Local PHP File Inclusion 취약점이 발견되어 인증 없이 임의 PHP 파일을 실행할 수 있습니다. 이를 통해 공격자는 접근 제어 우회, 민감한 데이터 탈취, 서버 코드 실행이 가능하며 특히 업로드된 파일을 악용할 수 있습니다.
💡 쉬운 설명
WordPress 플러그인의 결함으로 인증 없이 로그인하지 않은 사람도 서버의 파일을 실행할 수 있습니다. 업로드된 이미지나 파일을 악용하여 서버를 완전히 제어할 수 있는 심각한 보안 문제입니다.
🇺🇸 원문 (English)
The Swift Performance Lite plugin for WordPress is vulnerable to Local PHP File Inclusion in all versions up to, and including, 2.3.7.1 via the 'ajaxify' function. This makes it possible for unauthenticated attackers to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where images and other “safe” file types can be uploaded and included.
📍 영향받는 시스템
WordPress Swift Performance Lite 플러그인 2.3.7.1 이하 모든 버전
⚔️ 공격 벡터
'ajaxify' 함수의 Local PHP File Inclusion 취약점을 이용한 인증 없는 임의 PHP 코드 실행
🛡️ 대응 방법
Swift Performance Lite 플러그인을 2.3.7.2 이상으로 즉시 업데이트하거나 플러그인 비활성화
🔧 검증 코드
Swift Performance Lite 플러그인이 설치되어 있으면 버전 정보를 확인하고, 2.3.7.1 이하인 경우 취약한 상태입니다.
wp-cli plugin list 2>/dev/null | grep -i 'swift-performance-lite' || grep -r 'swift-performance-lite' /var/www/html/wp-content/plugins/ 2>/dev/null