🇰🇷 한글 설명
PHP 프로그램의 Include/Require 문에 대한 부적절한 파일명 제어로 인한 파일 포함 취약점입니다. Ovatheme EventList 플러그인이 사용자 입력을 충분히 검증하지 않아 로컬 파일 포함 공격이 가능합니다. 공격자는 이를 통해 민감한 파일을 읽거나 코드 실행을 유도할 수 있습니다.
💡 쉬운 설명
EventList 플러그인이 파일 경로를 검증하지 않아 공격자가 서버의 임의 파일을 읽을 수 있는 문제입니다. 웹 서버의 설정 파일, 데이터베이스 정보, 또는 다른 민감한 파일들이 노출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ovatheme eventlist eventlist allows PHP Local File Inclusion.This issue affects eventlist: from n/a through <= 1.9.2.
📍 영향받는 시스템
Ovatheme EventList 플러그인 버전 1.9.2 이하
⚔️ 공격 벡터
HTTP 요청에서 부적절하게 검증되는 파일 경로 파라미터를 조작하여 임의 파일 접근
🛡️ 대응 방법
Ovatheme EventList 플러그인을 버전 1.9.3 이상으로 업그레이드하거나 해당 플러그인 사용 중단 후 안전한 대안으로 전환
🔧 검증 코드
WordPress 플러그인 디렉토리에서 eventlist 플러그인의 버전이 1.9.2 이하로 표시되면 취약한 상태입니다. Version 항목이 없으면 플러그인이 설치되어 있지 않은 것입니다.
grep -r "eventlist" /var/www/html/wp-content/plugins/ 2>/dev/null | grep Version