🇰🇷 한글 설명
Advanced Custom Fields PRO 플러그인의 경로 제한 부재로 인한 경로 순회(Path Traversal) 취약점으로, PHP 로컬 파일 포함(LFI) 공격이 가능합니다. 6.2.10 버전 이전의 모든 버전이 영향을 받습니다.
💡 쉬운 설명
WordPress Advanced Custom Fields PRO 플러그인이 사용자 입력을 제대로 검증하지 않아, 공격자가 서버의 제한된 파일에 접근할 수 있습니다. 이를 통해 민감한 데이터를 유출하거나 시스템을 제어할 수 있습니다.
🇺🇸 원문 (English)
Vulnerability discovered by executing a planned security audit.
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in WPENGINE INC Advanced Custom Fields PRO allows PHP Local File Inclusion.This issue affects Advanced Custom Fields PRO: from n/a before 6.2.10.
📍 영향받는 시스템
Advanced Custom Fields PRO 버전 6.2.10 미만 (WordPress 플러그인)
⚔️ 공격 벡터
사용자 입력을 통한 경로 순회 공격으로 PHP 파일 포함(wp-config.php 등 민감 파일 접근 가능)
🛡️ 대응 방법
Advanced Custom Fields PRO를 버전 6.2.10 이상으로 즉시 업데이트
🔧 검증 코드
Version이 6.2.10 이상이면 안전, 그 이하이면 즉시 업데이트 필요. 'not found' 출력 시 플러그인 미설치 상태
grep -r "Version: " wp-content/plugins/advanced-custom-fields-pro/acf.php | awk '{print $NF}' || echo 'ACF PRO not found'