🔍 CVE-2025-47693

7.5
CVSS Score
HIGH
2025-05-16
2026-04-23 15:30
✅ 완료

🇰🇷 한글 설명

FAT Services Booking WordPress 플러그인의 파일 포함 취약점으로, 공격자가 부적절하게 제어된 파일명을 통해 PHP include/require 문을 조작하여 로컬 파일 포함(LFI)을 수행할 수 있습니다. 이를 통해 원격 코드 실행이나 민감한 정보 유출이 가능합니다.

💡 쉬운 설명

WordPress의 FAT Services Booking 플러그인에서 파일을 잘못 불러오는 취약점으로, 공격자가 악의적인 파일을 실행하도록 조작할 수 있습니다. 이 플러그인을 사용하는 웹사이트는 즉시 업데이트하거나 제거해야 합니다.

🇺🇸 원문 (English)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in roninwp FAT Services Booking fat-services-booking allows PHP Local File Inclusion.This issue affects FAT Services Booking: from n/a through <= 5.5.

📍 영향받는 시스템

FAT Services Booking plugin <= 5.5 (WordPress plugin)

⚔️ 공격 벡터

Attacker manipulates filename parameter in plugin code to include arbitrary local files (LFI) via GET/POST requests, potentially leading to code execution or information disclosure

🛡️ 대응 방법

Update FAT Services Booking plugin to version > 5.5 immediately, or disable/remove the plugin if not in use

🔧 검증 코드

명령어가 버전 번호를 반환하면 플러그인이 설치되어 있습니다. 반환된 버전 번호가 5.5 이하면 취약합니다. 출력이 없으면 플러그인이 설치되지 않았거나 WordPress가 기본 경로에 없습니다.

Shell / Script 
grep -r 'fat-services-booking' /var/www/html/wp-content/plugins/ 2>/dev/null | head -1 && grep -r 'Version:' /var/www/html/wp-content/plugins/fat-services-booking/fat-services-booking.php 2>/dev/null | grep -oE '[0-9]+\.[0-9]+'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP