🇰🇷 한글 설명
ThimPress WP Hotel Booking 플러그인의 경로 순회 취약점으로 인해 PHP 로컬 파일 포함(LFI) 공격이 가능합니다. '.../...//' 패턴을 통한 디렉토리 우회로 인가되지 않은 파일 접근이 가능하며, 서버의 민감한 설정 파일이나 데이터베이스 정보가 노출될 수 있습니다. 버전 2.2.9 이하가 영향을 받습니다.
💡 쉬운 설명
이 보안 결함은 WP Hotel Booking 플러그인이 파일 경로를 제대로 검증하지 않아서, 공격자가 특수한 경로 문자를 사용해 서버의 중요한 파일을 볼 수 있게 해줍니다. WordPress 호텔 예약 사이트에서 데이터베이스 설정이나 개인정보 같은 기밀정보가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Path Traversal: '.../...//' vulnerability in ThimPress WP Hotel Booking wp-hotel-booking allows PHP Local File Inclusion.This issue affects WP Hotel Booking: from n/a through <= 2.2.9.
📍 영향받는 시스템
ThimPress WP Hotel Booking plugin version 2.2.9 and earlier
⚔️ 공격 벡터
경로 순회 문자열('.../...//' 등)을 포함한 악의적인 URL 요청으로 PHP 파일 포함 공격 수행
🛡️ 대응 방법
wp-hotel-booking 플러그인을 2.2.10 이상으로 즉시 업데이트하거나 플러그인 비활성화 및 제거
🔧 검증 코드
출력된 버전 번호가 2.2.9 이하면 취약한 상태, 2.2.10 이상이면 패치됨
grep -r 'Version:' wp-content/plugins/wp-hotel-booking/wp-hotel-booking.php 2>/dev/null | grep -oP 'Version: \K[0-9.]+'