🇰🇷 한글 설명
Crocoblock JetGridBuilder 1.1.2 이하 버전에서 경로 검증 부족으로 인한 경로 탐색(Path Traversal) 취약점이 존재합니다. 이를 통해 공격자는 PHP Local File Inclusion(LFI) 공격을 수행하여 서버의 임의 파일을 읽을 수 있습니다.
💡 쉬운 설명
JetGridBuilder 플러그인이 사용자 입력한 파일 경로를 제대로 검증하지 않아, 공격자가 원하는 파일을 서버에서 읽을 수 있는 문제입니다. 이는 민감한 정보 노출 및 추가 공격의 발판이 될 수 있습니다.
🇺🇸 원문 (English)
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Crocoblock JetGridBuilder allows PHP Local File Inclusion.This issue affects JetGridBuilder: from n/a through 1.1.2.
📍 영향받는 시스템
Crocoblock JetGridBuilder 플러그인 버전 1.1.2 이하 (WordPress)
⚔️ 공격 벡터
GET/POST 요청에서 파일 경로 파라미터를 조작하여 LFI 페이로드(../../etc/passwd 등) 전달
🛡️ 대응 방법
JetGridBuilder를 최신 버전으로 업데이트하고, 파일 경로 입력값에 대한 화이트리스트 검증 적용
🔧 검증 코드
jetgridbuilder가 설치된 경우 버전 정보 확인, 미설치시 'Plugin not found' 표시
wp plugin list 2>/dev/null | grep -i jetgridbuilder || echo 'Plugin not found'