🇰🇷 한글 설명
Notifications for Forms & WordPress Actions 플러그인 2.6 미만 버전에서 사용자 입력값을 검증하지 않아 발생하는 서버 측 파일 포함(LFI) 취약점입니다. 이를 통해 구독자 권한 이상의 인증된 사용자가 서버 내 임의의 PHP 파일을 포함하고 실행할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 조작된 값을 입력하여 서버에 저장된 중요한 파일을 강제로 읽거나 실행할 수 있는 보안 약점입니다. 해커가 이 취약점을 이용하면 서버의 제어권을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
The Notifications for Forms & WordPress Actions WordPress plugin before 2.6 does not validate a user-supplied value before using it to build a server-side file inclusion path, allowing authenticated users with subscriber-level access and above to include and execute arbitrary local PHP files on the server.
📍 영향받는 시스템
Notifications for Forms & WordPress Actions plugin version < 2.6
⚔️ 공격 벡터
인증된 사용자(구독자 권한 이상)가 조작된 파일 경로 값을 입력하여 서버 측 파일 포함(LFI) 공격 수행
🛡️ 대응 방법
Notifications for Forms & WordPress Actions 플러그인을 최신 버전(2.6 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 해당 플러그인의 버전이 2.6 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'notifications-for-forms|wordpress-actions'