🇰🇷 한글 설명
Creta Testimonial Showcase WordPress 플러그인 1.2.4 이전 버전에서 로컬 파일 포함(LFI) 취약점이 존재합니다. 에디터 이상의 권한을 가진 인증된 공격자가 임의의 파일을 포함하고 실행할 수 있어 서버의 PHP 코드를 원격으로 실행할 수 있습니다.
💡 쉬운 설명
WordPress 플러그인의 버그로 편집자 권한을 가진 사람이 서버의 임의 파일을 실행할 수 있습니다. 이를 통해 공격자가 웹사이트 전체를 제어하거나 데이터를 탈취할 수 있습니다.
🇺🇸 원문 (English)
The Creta Testimonial Showcase WordPress plugin before 1.2.4 is vulnerable to Local File Inclusion. This makes it possible for authenticated attackers, with editor-level access and above, to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files.
📍 영향받는 시스템
Creta Testimonial Showcase plugin version < 1.2.4
⚔️ 공격 벡터
Authenticated attacker with editor-level or higher privileges exploits LFI to include arbitrary PHP files and execute malicious code
🛡️ 대응 방법
Update Creta Testimonial Showcase plugin to version 1.2.4 or later
🔧 검증 코드
플러그인 목록에 'creta-testimonial-showcase'가 표시되면 설치 디렉토리로 이동해 readme.txt 또는 plugin header를 확인하여 버전이 1.2.4 미만인지 확인
wp plugin list --field=name --status=active 2>/dev/null | grep -i creta