🇰🇷 한글 설명
WordPress용 YotuWP의 Video Gallery 플러그인 1.3.13 이하 버전에서 로컬 파일 인클루전(LFI) 취약점이 존재합니다. display 함수를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 서버 내 임의의 PHP 파일을 포함 및 실행할 수 있습니다. 이를 통해 접근 제어 우회, 민감 데이터 탈취, 또는 코드 실행이 가능합니다.
💡 쉬운 설명
WordPress 사이트에 설치된 유튜브 동영상 갤러리 플러그인에 보안 결함이 있어, 블로그 작성자 계정만 있어도 서버의 숨겨진 파일을 열람하거나 악성 코드를 실행할 수 있습니다. 마치 일반 직원이 사장의 금고를 열 수 있는 열쇠를 갖게 되는 것과 같습니다.
🇺🇸 원문 (English)
The Video Gallery – YouTube Playlist, Channel Gallery by YotuWP plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 1.3.13 via the display function. This makes it possible for authenticated attackers, with contributor access and higher, to include and execute arbitrary php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where images and other “safe” file types can be uploaded and included.
📍 영향받는 시스템
WordPress 플러그인 'Video Gallery – YouTube Playlist, Channel Gallery by YotuWP' 1.3.13 이하 모든 버전
⚔️ 공격 벡터
Contributor 이상 권한의 인증된 공격자가 display 함수의 파일 경로 검증 미흡을 악용하여 서버 내 임의 PHP 파일을 인클루드 및 실행
🛡️ 대응 방법
플러그인을 1.3.14 이상 최신 버전으로 업데이트하거나, 불필요한 경우 즉시 비활성화/삭제
🔧 검증 코드
출력된 버전이 1.3.13 이하이면 취약, 1.3.14 이상이거나 플러그인이 존재하지 않으면 안전
wp plugin list --name=yotuwp-easy-youtube-embed --fields=name,version,status 2>/dev/null || find /var/www -path '*/yotuwp*/yotuwp.php' -exec grep -m1 'Version:' {} \;