🇰🇷 한글 설명
WordPress Woocommerce Blocks – Woolook 플러그인의 'tab' 매개변수를 통한 로컬 파일 포함(LFI) 취약점으로, 관리자 권한의 인증된 공격자가 서버의 임의 파일을 포함 및 실행하여 PHP 코드 실행이 가능하다. CSRF 기법으로도 악용될 수 있으며 접근 제어 우회, 민감 데이터 탈취 등을 야기할 수 있다.
💡 쉬운 설명
WordPress의 Woolook 플러그인에서 관리자가 특정 파라미터를 조작하면 서버의 파일을 무단으로 실행할 수 있는 결함입니다. 이를 통해 악의적인 코드를 실행하거나 민감한 정보를 빼낼 수 있습니다.
🇺🇸 원문 (English)
The Woocommerce Blocks – Woolook plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 1.7.0 via the via the 'tab' parameter. This makes it possible for authenticated attackers, with Administrator-level access and above, to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where images and other “safe” file types can be uploaded and included. Please note that this can also be exploited via CSRF techniques.
📍 영향받는 시스템
Woocommerce Blocks – Woolook plugin for WordPress versions ≤ 1.7.0
⚔️ 공격 벡터
Authenticated administrator with CSRF or direct 'tab' parameter manipulation leading to arbitrary file inclusion and PHP execution
🛡️ 대응 방법
Immediately update Woocommerce Blocks – Woolook plugin to version > 1.7.0; remove if unused
🔧 검증 코드
플러그인 설치 여부와 버전을 확인. 1.7.0 이하이거나 활성화되어 있으면 즉시 업데이트 필요.
wp plugin list | grep -i woolook