🇰🇷 한글 설명
WordPress의 Qi Addons For Elementor 플러그인 1.7.2 이하 버전에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 공격자가 특정 숏코드의 'behavior' 속성을 악용하여 서버 내 임의의 PHP 파일을 실행할 수 있습니다. 이를 통해 민감한 데이터에 접근하거나 시스템 제어권을 획득할 수 있습니다.
💡 쉬운 설명
웹사이트의 일부 관리 권한이 있는 사용자가 특수한 명령어를 입력해 서버 내부의 비밀 파일을 열어보거나 실행할 수 있는 약점입니다. 이 취약점을 통해 해커가 사이트 전체를 장악할 위험이 있습니다.
🇺🇸 원문 (English)
The Qi Addons For Elementor plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 1.7.2 via the 'behavior' attributes found in the qi_addons_for_elementor_blog_list shortcode. This makes it possible for authenticated attackers, with Contributor-level access and above, to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included. Please note that this requires an attacker to create a non-existent directory or target an instance where file_exists won't return false with a non-existent directory in the path, in order to successfully exploit.
📍 영향받는 시스템
WordPress Qi Addons For Elementor 플러그인 v1.7.2 및 그 이전 모든 버전
⚔️ 공격 벡터
qi_addons_for_elementor_blog_list 숏코드의 'behavior' 속성을 통한 로컬 파일 포함(LFI) 공격
🛡️ 대응 방법
Qi Addons For Elementor 플러그인을 최신 버전(1.7.3 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 숫자가 1.7.2 이하일 경우 취약한 상태입니다.
grep -r "Stable tag:" wp-content/plugins/qi-addons-for-elementor/readme.txt | cut -d ' ' -f 3