🇰🇷 한글 설명
WordPress의 Countdown, Coming Soon, Maintenance – Countdown & Clock 플러그인의 createCdObj 함수에서 입력값 검증이 부족하여 비인증 공격자가 Local File Inclusion 공격으로 임의 파일을 포함하고 PHP 코드를 실행할 수 있습니다. 이를 통해 접근 제어 우회, 민감 정보 유출, 원격 코드 실행이 가능합니다.
💡 쉬운 설명
WordPress 플러그인의 보안 검증 부족으로 인증되지 않은 사용자가 서버 파일을 읽고 실행할 수 있습니다. 공격자가 이를 악용하면 웹사이트 전체를 장악할 수 있습니다.
🇺🇸 원문 (English)
The Countdown, Coming Soon, Maintenance – Countdown & Clock plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 2.8.9.1 via the createCdObj function. This makes it possible for unauthenticated attackers to include and execute files with the specific filenames on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in some cases.
📍 영향받는 시스템
Countdown, Coming Soon, Maintenance – Countdown & Clock plugin for WordPress, versions up to and including 2.8.9.1
⚔️ 공격 벡터
비인증 공격자가 createCdObj 함수의 파일 포함 매개변수를 조작하여 특정 파일명의 PHP 코드 실행
🛡️ 대응 방법
플러그인을 2.8.9.2 이상으로 즉시 업데이트하거나 취약한 플러그인 비활성화/제거
🔧 검증 코드
Version이 2.8.9.1 이하로 표시되면 취약함, 2.8.9.2 이상이면 패치됨
find /var/www/html/wp-content/plugins -name 'countdown*.php' -exec grep -h 'Version:' {} \; 2>/dev/null | head -1