🇰🇷 한글 설명
nicdark Hotel Booking 플러그인 3.6 버전 이하에서 PHP include/require 문의 파일명 제어 부실로 인한 Local File Inclusion 취약점입니다. 공격자는 조작된 파일 경로를 통해 서버의 임의 파일을 읽거나 실행할 수 있으며, 이는 데이터베이스 설정, 설치 파일, 백업 등 민감한 정보 노출로 이어집니다.
💡 쉬운 설명
호텔 예약 플러그인에서 공격자가 특별한 경로를 입력하여 웹서버의 숨겨진 파일들을 읽을 수 있습니다. 이를 통해 비밀번호, 사용자 데이터, 데이터베이스 설정 등이 유출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in nicdark Hotel Booking nd-booking allows PHP Local File Inclusion.This issue affects Hotel Booking: from n/a through <= 3.6.
📍 영향받는 시스템
WordPress 플러그인 nicdark Hotel Booking (nd-booking) 버전 3.6 이하
⚔️ 공격 벡터
파일 경로 조작을 통한 GET/POST 파라미터 입력으로 임의의 파일 읽기 또는 코드 실행
🛡️ 대응 방법
플러그인을 3.7 이상으로 즉시 업데이트하거나 적절한 입력 검증 및 파일 접근 제어 구현
🔧 검증 코드
명령어 실행 후 버전 정보가 표시되면 플러그인이 설치되어 있으며, 3.6 이하면 취약한 상태입니다.
find /var/www -type f -name 'nd-booking.php' 2>/dev/null | xargs grep -h 'Version:' | head -1