🇰🇷 한글 설명
WordPress용 Kubio AI Page Builder 플러그인의 thekubio_hybrid_theme_load_template 함수에 Local File Inclusion 취약점이 존재합니다. 인증 없이 임의의 파일을 서버에 포함 및 실행할 수 있으며, 업로드된 이미지 등을 악용하여 PHP 코드 실행, 접근 제어 우회, 민감한 정보 탈취가 가능합니다.
💡 쉬운 설명
WordPress의 한 플러그인에서 누구나 서버의 파일을 실행할 수 있는 결함이 있습니다. 공격자가 이를 악용하면 웹사이트를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
The Kubio AI Page Builder plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 2.5.1 via thekubio_hybrid_theme_load_template function. This makes it possible for unauthenticated attackers to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where images and other “safe” file types can be uploaded and included.
📍 영향받는 시스템
Kubio AI Page Builder for WordPress 버전 2.5.1 이하
⚔️ 공격 벡터
인증 없이 특수하게 조작된 요청을 통해 서버 파일 포함 및 실행 (업로드 파일 활용)
🛡️ 대응 방법
Kubio AI Page Builder 플러그인을 버전 2.5.2 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전 번호가 2.5.2 이상이면 패치됨, 2.5.1 이하면 취약함
grep -r 'Version' /var/www/html/wp-content/plugins/kubio-ai-page-builder/*.php 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' | head -1