🇰🇷 한글 설명
IDonate <= 2.1.18 버전에서 PHP Include/Require 문의 파일명 제어 부재로 인한 Local File Inclusion 취약점. 공격자는 파라미터를 조작하여 서버의 임의 파일을 포함시키고 실행할 수 있음. CVSS 8.1로 높은 심각도의 보안 위협.
💡 쉬운 설명
IDonate 플러그인이 사용자 입력을 제대로 검증하지 않아서 악의적인 파일 경로를 포함시킬 수 있습니다. 공격자는 이를 악용해 서버의 민감한 파일을 읽거나 악성 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Foysal Imran IDonate idonate allows PHP Local File Inclusion.This issue affects IDonate: from n/a through <= 2.1.18.
📍 영향받는 시스템
IDonate <= 2.1.18 (WordPress 플러그인)
⚔️ 공격 벡터
파일 포함 파라미터(예: ?file=) 조작으로 ../../etc/passwd 등 상위 디렉토리 파일에 접근
🛡️ 대응 방법
IDonate를 2.1.19 이상으로 즉시 업데이트하거나, 입력 검증/화이트리스트 필터링 추가
🔧 검증 코드
Version: x.x.x 형식의 버전이 표시됨. 2.1.18 이하이면 취약함, 2.1.19 이상이면 패치됨
find /var/www -name "idonate.php" 2>/dev/null | xargs grep "Version:" 2>/dev/null | head -1