🇰🇷 한글 설명
All Bootstrap Blocks WordPress 플러그인의 파일 포함 기능에서 입력 검증 부족으로 인해 PHP Local File Inclusion 공격이 가능합니다. 공격자가 시스템의 임의의 로컬 파일을 포함시켜 민감한 정보를 획득하거나 코드 실행을 유도할 수 있습니다.
💡 쉬운 설명
WordPress 플러그인의 버그로 인해 웹사이트의 숨겨진 파일(설정파일, 데이터베이스 접근정보 등)을 해커가 읽을 수 있습니다. 이를 통해 사이트 관리자 계정 정보를 탈취하거나 사이트를 장악할 위험이 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in all_bootstrap_blocks All Bootstrap Blocks all-bootstrap-blocks allows PHP Local File Inclusion.This issue affects All Bootstrap Blocks: from n/a through <= 1.3.19.
📍 영향받는 시스템
All Bootstrap Blocks <= 1.3.19 (WordPress 플러그인)
⚔️ 공격 벡터
POST/GET 파라미터를 조작하여 PHP include/require 경로 제어 (예: ../ 경로 이용 또는 /etc/passwd 등 시스템 파일 접근)
🛡️ 대응 방법
All Bootstrap Blocks 플러그인을 1.3.20 이상으로 즉시 업데이트하거나 플러그인 비활성화/제거
🔧 검증 코드
설치된 All Bootstrap Blocks의 경로가 표시되면 설치됨을 확인할 수 있습니다. 플러그인 버전은 플러그인 디렉토리의 readme.txt 또는 해당 파일의 Version 주석에서 확인 가능합니다.
grep -r 'all-bootstrap-blocks' /var/www/html/wp-content/plugins/ 2>/dev/null || find ~/.wordpress -name 'all-bootstrap-blocks' -type d 2>/dev/null