🇰🇷 한글 설명
WP Travel Engine 플러그인의 파일명 제어 부재로 인한 PHP 로컬/원격 파일 포함(LFI/RFI) 취약점입니다. 공격자가 include/require 함수의 파일 경로를 조작하여 악의적인 파일을 실행할 수 있습니다. 원격 코드 실행 및 시스템 정보 유출의 심각한 위험을 초래합니다.
💡 쉬운 설명
WP Travel Engine 플러그인에서 공격자가 악의적인 파일을 포함하도록 조작할 수 있는 결함입니다. 이를 통해 악성 코드 실행이나 중요 정보 탈취가 가능합니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in WP Travel Engine WP Travel Engine wp-travel-engine allows PHP Local File Inclusion.This issue affects WP Travel Engine: from n/a through <= 6.5.1.
📍 영향받는 시스템
WP Travel Engine 6.5.1 이하 모든 버전
⚔️ 공격 벡터
파일 경로 파라미터를 조작하여 include/require 함수로 악의적 파일 로드 유도
🛡️ 대응 방법
WP Travel Engine을 6.5.2 이상으로 즉시 업그레이드하거나 플러그인 비활성화/제거
🔧 검증 코드
출력된 버전이 6.5.1 이하면 취약 (즉시 업그레이드 필요), 6.5.2 이상이면 안전
find /var/www -name wp-travel-engine.php 2>/dev/null | xargs grep 'Version:' 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' | head -1