🇰🇷 한글 설명
WordPress AI Feeds 플러그인의 actualizador_git.php 파일에서 권한 확인 부재로 인해 인증되지 않은 공격자가 임의의 GitHub 저장소를 다운로드하고 플러그인 파일을 덮어쓸 수 있는 파일 업로드 취약점입니다. 이를 통해 원격 코드 실행이 가능할 수 있습니다.
💡 쉬운 설명
WordPress의 AI Feeds 플러그인에 보안 구멍이 있어서, 인증 없이 누구나 서버의 파일을 변조할 수 있습니다. 이를 이용하면 해커가 서버 전체를 장악하고 악의적인 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
The AI Feeds plugin for WordPress is vulnerable to arbitrary file uploads due to missing capability check in the 'actualizador_git.php' file in all versions up to, and including, 1.0.11. This makes it possible for unauthenticated attackers to download arbitrary GitHub repositories and overwrite plugin files on the affected site's server which may make remote code execution possible.
📍 영향받는 시스템
WordPress AI Feeds 플러그인 버전 1.0.11 이하
⚔️ 공격 벡터
인증 없이 actualizador_git.php에 HTTP 요청을 전송하여 GitHub 저장소를 다운로드하고 플러그인 파일을 덮어쓰기
🛡️ 대응 방법
플러그인을 1.0.12 이상으로 즉시 업데이트하거나 영향받는 플러그인을 비활성화/삭제
🔧 검증 코드
해당 파일이 발견되면 플러그인 버전을 확인하여 1.0.11 이하인 경우 취약 상태이며, 즉시 업데이트 필요
grep -r 'actualizador_git.php' /var/www/html/wp-content/plugins/ 2>/dev/null && echo '취약함' || echo '미설치'