🇰🇷 한글 설명
Cookie Monster 플러그인에서 PHP 파일 포함 시 사용자 입력값을 적절히 검증하지 않아, 공격자가 로컬 파일을 임의로 읽을 수 있는 LFI(Local File Inclusion) 취약점입니다. 버전 1.2.2 이하에서 발생하며 서버의 민감한 정보 유출 위험이 있습니다.
💡 쉬운 설명
WordPress의 Cookie Monster 플러그인이 파일을 잘못된 방식으로 읽기 때문에, 해커가 시스템의 중요한 파일들(설정파일, 패스워드 파일 등)을 다운로드할 수 있습니다. 플러그인을 최신 버전으로 업데이트하면 됩니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Oscar Alvarez Cookie Monster cookie-monster allows PHP Local File Inclusion.This issue affects Cookie Monster: from n/a through <= 1.2.2.
📍 영향받는 시스템
Cookie Monster <= 1.2.2 (WordPress 플러그인)
⚔️ 공격 벡터
공격자가 조작된 요청으로 플러그인의 파일 포함 함수에 임의의 파일 경로를 전달하여 서버의 로컬 파일에 접근
🛡️ 대응 방법
Cookie Monster 플러그인을 1.2.3 이상으로 업데이트하고, 입력값 검증 필터 추가 적용
🔧 검증 코드
위 명령어로 Cookie Monster 플러그인의 설치 여부와 버전을 확인하며, 1.2.2 이하면 취약한 상태입니다.
wp plugin list --allow-root 2>/dev/null | grep -i 'cookie-monster'