🇰🇷 한글 설명
WordPress의 Spirit Framework 플러그인 1.2.13 이하 버전에 Local File Inclusion 취약점이 존재합니다. 인증된 Subscriber 레벨 이상의 공격자가 임의의 PHP 파일을 포함하고 실행할 수 있어, 업로드된 PHP 파일을 통해 서버에서 코드를 실행할 수 있습니다.
💡 쉬운 설명
WordPress 플러그인에 파일 포함 결함이 있어서, 로그인한 사용자가 서버의 PHP 파일을 실행할 수 있습니다. 이를 통해 공격자가 웹사이트를 완전히 장악하거나 민감한 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
The Spirit Framework plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 1.2.13. This makes it possible for authenticated attackers, with Subscriber-level access and above, to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included.
📍 영향받는 시스템
Spirit Framework plugin for WordPress 버전 1.2.13 이하
⚔️ 공격 벡터
Subscriber 레벨 이상으로 인증한 후 LFI 파라미터를 조작하여 업로드된 PHP 파일 또는 서버 상의 다른 PHP 파일 실행
🛡️ 대응 방법
Spirit Framework 플러그인을 1.2.14 이상으로 즉시 업데이트하거나, 플러그인을 비활성화/삭제
🔧 검증 코드
플러그인 버전이 1.2.13 이하면 취약, 1.2.14 이상이면 안전. Plugin not found 또는 오류면 플러그인 미설치
grep -oP 'Version:\s*\K[0-9.]+' /wp-content/plugins/spirit-framework/spirit-framework.php 2>/dev/null