🇰🇷 한글 설명
Blog Designer PRO 플러그인의 파일 포함 함수에서 파일명을 적절히 검증하지 않아 발생하는 PHP 원격 파일 포함(RFI) 취약점입니다. 공격자가 외부 서버의 악의적인 코드를 강제로 포함시켜 웹 서버에서 임의 코드를 실행할 수 있습니다.
💡 쉬운 설명
Blog Designer PRO가 외부 파일을 안전하지 않게 가져올 때 발생하는 문제입니다. 해커가 원격 서버의 악성 파일을 강제 실행하여 웹사이트를 제어할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in solwin Blog Designer PRO blog-designer-pro.This issue affects Blog Designer PRO: from n/a through <= 3.4.7.
📍 영향받는 시스템
Blog Designer PRO 버전 3.4.7 이하
⚔️ 공격 벡터
HTTP 요청의 파일 포함 매개변수를 조작하여 php://, http://, https:// 프로토콜로 원격 파일 포함 유발
🛡️ 대응 방법
Blog Designer PRO를 3.4.8 이상으로 긴급 업그레이드하거나 php.ini에서 allow_url_include=Off로 설정
🔧 검증 코드
결과에 사용자 입력값을 직접 include/require하는 코드가 표시되면 취약함. 안전한 버전은 화이트리스트 검증을 포함합니다.
grep -r 'include.*\$_' /var/www/html/wp-content/plugins/blog-designer-pro/ 2>/dev/null | head -5