🇰🇷 한글 설명
Arraytics Eventin WordPress 플러그인의 파일 포함 문제로, 사용자 입력을 부적절하게 검증하여 PHP 코드가 원격 또는 로컬 파일을 포함할 수 있게 됩니다. 공격자는 악의적인 파일을 포함시켜 서버 코드 실행이나 민감한 파일 접근을 할 수 있습니다.
💡 쉬운 설명
WordPress 이벤트 플러그인의 취약점으로, 파일을 읽거나 실행할 때 주소를 제대로 검증하지 않아 악의적인 파일을 로드할 수 있게 됩니다. 공격자가 이를 악용하면 서버의 제어권을 탈취하거나 중요한 정보를 빼낼 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Arraytics Eventin wp-event-solution allows PHP Local File Inclusion.This issue affects Eventin: from n/a through <= 4.0.20.
📍 영향받는 시스템
Arraytics Eventin wp-event-solution WordPress 플러그인 버전 4.0.20 이하
⚔️ 공격 벡터
GET/POST 매개변수를 통해 파일 경로 조작으로 로컬 파일 포함 또는 원격 파일 실행
🛡️ 대응 방법
플러그인을 4.0.21 이상으로 즉시 업데이트하거나 플러그인 비활성화
🔧 검증 코드
플러그인의 정확한 버전을 확인하여 4.0.20 이하면 취약상태, 4.0.21 이상이면 패치됨
grep -r 'Version:' /var/www/html/wp-content/plugins/eventin/eventin.php 2>/dev/null | head -1