🇰🇷 한글 설명
Real Estate Manager 플러그인의 파일 포함 매개변수 검증 부재로 인해 PHP Local File Inclusion 취약점이 발생합니다. 공격자는 서버의 로컬 파일을 읽거나 실행하여 민감한 정보를 탈취하거나 원격 코드 실행을 시도할 수 있습니다.
💡 쉬운 설명
웹사이트의 Real Estate Manager 플러그인에서 파일 경로를 검증하지 않아 공격자가 '../../../etc/passwd' 같은 경로로 서버의 임의 파일에 접근할 수 있습니다. 데이터베이스 설정 파일과 시스템 정보를 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Rameez Iqbal Real Estate Manager real-estate-manager allows PHP Local File Inclusion.This issue affects Real Estate Manager: from n/a through <= 7.3.
📍 영향받는 시스템
Real Estate Manager by Rameez Iqbal 플러그인 버전 7.3 이하
⚔️ 공격 벡터
파일 포함 파라미터에 경로 traversal 패턴 (../) 삽입으로 시스템 파일 접근
🛡️ 대응 방법
Real Estate Manager 플러그인을 7.4 이상 최신 버전으로 업데이트
🔧 검증 코드
명령어 결과에서 버전이 7.3 이하면 취약하며, 7.4 이상이면 패치됨
find /var/www/html/wp-content/plugins -name '*real*estate*' -type d 2>/dev/null | xargs -I {} cat {}/readme.txt 2>/dev/null | grep 'Stable tag'