🇰🇷 한글 설명
VG WooCarousel 플러그인에서 파일 포함 문장의 파일명 검증이 부족하여 PHP 로컬 파일 포함(LFI) 취약점이 발생합니다. 버전 1.3 이하의 모든 버전이 영향을 받으며, 공격자는 이를 통해 서버의 민감한 파일(설정, 데이터베이스 자격증명 등)에 접근할 수 있습니다.
💡 쉬운 설명
WordPress의 WooCarousel 플러그인에 버그가 있어서 공격자가 서버의 숨겨진 파일들을 읽을 수 있습니다. 플러그인을 1.3 이상으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in vinagecko VG WooCarousel vg-woocarousel allows PHP Local File Inclusion.This issue affects VG WooCarousel: from n/a through <= 1.3.
📍 영향받는 시스템
VG WooCarousel (vg-woocarousel) plugin versions up to 1.3
⚔️ 공격 벡터
조작된 파라미터를 통해 플러그인의 파일 포함 함수에 임의의 로컬 파일 경로를 전달하여 민감한 파일 접근
🛡️ 대응 방법
VG WooCarousel 플러그인을 1.4 이상으로 업그레이드하고, 가능하면 파일 접근 권한을 최소화하세요.
🔧 검증 코드
명령어 실행 후 버전(version)이 1.3 이하로 표시되면 즉시 업그레이드가 필요합니다.
wp plugin list --format=json | grep -i vg-woocarousel