🇰🇷 한글 설명
WordPress용 The Plus Addons for Elementor 플러그인 5.4.1 이하 버전의 Team Member Listing 위젯에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 기여자(contributor) 이상의 권한을 가진 인증된 공격자가 서버에서 임의의 파일을 포함하고 실행할 수 있습니다. 이를 통해 접근 제어 우회, 민감한 데이터 탈취, 업로드된 이미지 등을 이용한 코드 실행이 가능합니다.
💡 쉬운 설명
WordPress 사이트에 설치된 특정 플러그인에 결함이 있어, 로그인한 일반 편집자도 서버 내부 파일을 마음대로 실행시킬 수 있습니다. 마치 건물 내부인이 잠긴 서버실 문을 열 수 있는 것과 같습니다.
🇺🇸 원문 (English)
The The Plus Addons for Elementor plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 5.4.1 via the Team Member Listing widget. This makes it possible for authenticated attackers, with contributor-level access and above, to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where images and other “safe” file types can be uploaded and included.
📍 영향받는 시스템
WordPress 플러그인 'The Plus Addons for Elementor' 5.4.1 이하 모든 버전
⚔️ 공격 벡터
contributor 이상 권한으로 인증 후 Team Member Listing 위젯의 파일 경로 파라미터를 조작하여 서버 내 임의 PHP 파일 포함 및 실행
🛡️ 대응 방법
The Plus Addons for Elementor 플러그인을 5.4.2 이상 최신 버전으로 즉시 업데이트
🔧 검증 코드
출력된 버전이 5.4.1 이하이면 취약, 5.4.2 이상이면 패치 완료; 결과가 없으면 해당 플러그인 미설치
wp plugin list --name=the-plus-addons-for-elementor --fields=name,version,status 2>/dev/null || grep -r 'Version' /var/www/html/wp-content/plugins/the-plus-addons-for-elementor/the-plus-addons-for-elementor.php 2>/dev/null | head -1