🇰🇷 한글 설명
WordPress의 XML Sitemap & Google News 플러그인 5.4.8 이하 버전에서 'feed' 매개변수를 통한 로컬 파일 포함(LFI) 취약점이 존재합니다. 인증 없이 서버의 임의 파일을 포함하고 실행할 수 있어 PHP 코드 실행으로 이어질 수 있습니다.
💡 쉬운 설명
WordPress 플러그인의 버그로 인해 누구나 서버의 파일을 볼 수 있고 실행할 수 있습니다. 업로드된 이미지 파일 같은 것도 악용되어 해킹에 사용될 수 있습니다.
🇺🇸 원문 (English)
The XML Sitemap & Google News plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 5.4.8 via the 'feed' parameter. This makes it possible for unauthenticated attackers to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where images and other “safe” file types can be uploaded and included.
📍 영향받는 시스템
WordPress XML Sitemap & Google News 플러그인 버전 5.4.8 이하
⚔️ 공격 벡터
feed 매개변수에 파일 경로를 입력하여 임의 파일 포함 및 PHP 코드 실행
🛡️ 대응 방법
플러그인을 최신 버전(5.4.9 이상)으로 즉시 업데이트
🔧 검증 코드
/etc/passwd 파일의 내용이 출력되면 취약점 존재, 아무것도 출력되지 않으면 패치됨
curl -s 'http://target/wp-content/plugins/xml-sitemap-feed/plugin.php?feed=../../../etc/passwd' 2>&1 | head -5