🇰🇷 한글 설명
wpWax Post Grid, Slider & Carousel Ultimate 플러그인에서 PHP include/require 문의 파일명 검증 불충분으로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자가 조작된 파일 경로를 입력하여 서버의 설정 파일, 데이터베이스 자격증명 등 민감한 정보에 접근할 수 있습니다. 버전 1.6.10 이하가 영향을 받습니다.
💡 쉬운 설명
워드프레스 플러그인이 파일을 로드할 때 입력을 제대로 검증하지 않아, 공격자가 서버의 숨겨진 파일들을 읽을 수 있습니다. 이를 통해 비밀번호나 설정 정보 같은 민감한 데이터가 유출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in wpWax Post Grid, Slider & Carousel Ultimate post-grid-carousel-ultimate allows PHP Local File Inclusion.This issue affects Post Grid, Slider & Carousel Ultimate: from n/a through <= 1.6.10.
📍 영향받는 시스템
wpWax Post Grid, Slider & Carousel Ultimate 플러그인 버전 <= 1.6.10
⚔️ 공격 벡터
플러그인의 파일 로드 기능에 상대 경로(../../etc/passwd 등)를 주입하여 임의 파일 접근
🛡️ 대응 방법
Post Grid, Slider & Carousel Ultimate 플러그인을 1.6.11 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 1.6.10 이하면 취약, 1.6.11 이상이면 패치됨, 출력 없으면 플러그인 미설치
grep -h 'Version' /var/www/html/wp-content/plugins/post-grid-carousel-ultimate/{readme.txt,post-grid-carousel-ultimate.php} 2>/dev/null | head -1