🔍 CVE-2025-30846

8.8
CVSS Score
HIGH
2025-03-27
2026-04-23 15:27
✅ 완료

🇰🇷 한글 설명

MotoPress Restaurant Menu 플러그인의 파일 포함 제어 부재 취약점입니다. PHP 파일 포함(LFI/RFI) 공격을 통해 공격자가 임의의 파일을 실행할 수 있습니다. 버전 2.4.4 이하가 영향을 받습니다.

💡 쉬운 설명

WordPress의 MotoPress Restaurant Menu 플러그인에서 보안 검증 없이 파일을 불러오는 기능이 있습니다. 공격자가 이를 악용해 서버에서 악의적인 코드를 실행할 수 있습니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in jetmonsters Restaurant Menu by MotoPress mp-restaurant-menu allows PHP Local File Inclusion.This issue affects Restaurant Menu by MotoPress: from n/a through <= 2.4.4.

📍 영향받는 시스템

MotoPress Restaurant Menu plugin version 2.4.4 and below on WordPress installations

⚔️ 공격 벡터

PHP include/require statement에 사용자 입력값을 검증 없이 전달하여 로컬/원격 파일 포함 공격 수행

🛡️ 대응 방법

MotoPress Restaurant Menu 플러그인을 2.4.5 이상으로 즉시 업데이트하거나 플러그인 비활성화

🔧 검증 코드

플러그인 설치 경로를 찾고 버전 정보를 출력합니다. 2.4.4 이하면 취약하며, 2.4.5 이상이면 패치됨

Shell / Script 
find /var/www/html /home -name 'mp-restaurant-menu' -type d 2>/dev/null | xargs -I {} grep -H 'Version:' {}/mp-restaurant-menu.php 2>/dev/null

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP