🇰🇷 한글 설명
WordPress 'Where I Was, Where I Will Be' 플러그인 버전 1.1.1 이하에서 /system/include/include_user.php의 WIW_HEADER 파라미터를 통한 원격 파일 포함(RFI) 취약점으로, 인증 없이 외부 PHP 파일을 실행할 수 있습니다. allow_url_include가 true인 경우에만 악용 가능하며, 임의 코드 실행, 접근 제어 우회, 민감 정보 탈취가 가능합니다.
💡 쉬운 설명
WordPress 플러그인에서 악의적인 파일을 외부에서 불러와 실행할 수 있는 심각한 보안 구멍입니다. 공격자가 이를 이용하면 웹사이트를 완전히 장악하고 모든 데이터를 탈취할 수 있습니다.
🇺🇸 원문 (English)
The Where I Was, Where I Will Be plugin for WordPress is vulnerable to Remote File Inclusion in version <= 1.1.1 via the WIW_HEADER parameter of the /system/include/include_user.php file. This makes it possible for unauthenticated attackers to include and execute arbitrary files hosted on external servers, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution. This requires allow_url_include to be set to true in order to exploit, which is not commonly enabled.
📍 영향받는 시스템
Where I Was, Where I Will Be plugin for WordPress <= version 1.1.1
⚔️ 공격 벡터
HTTP 요청의 WIW_HEADER 파라미터에 외부 악성 PHP 파일 URL을 전달하여 원격 코드 실행
🛡️ 대응 방법
플러그인을 1.1.2 이상으로 업그레이드하거나, allow_url_include를 false로 유지하고 플러그인 제거
🔧 검증 코드
출력된 버전이 1.1.2 이상이면 패치됨, 1.1.1 이하면 즉시 업데이트 필요
grep -ri 'Version' /var/www/html/wp-content/plugins/where-i-was-where-i-will-be/ 2>/dev/null | head -1 | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'