🇰🇷 한글 설명
immonex Kickstart 플러그인에서 PHP include/require 함수로 전달되는 파일명을 부적절하게 제어하여 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자가 의도한 파일을 로드하도록 조작하여 민감한 설정 파일 접근, 정보 유출, 또는 코드 실행이 가능합니다. 버전 1.11.6 이하에서 영향을 받습니다.
💡 쉬운 설명
WordPress 플러그인에서 파일을 열 때 공격자가 자신이 원하는 다른 파일을 열도록 속일 수 있다는 뜻입니다. 이를 통해 암호나 설정 정보 같은 민감한 파일에 접근할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in immonex immonex Kickstart immonex-kickstart allows PHP Local File Inclusion.This issue affects immonex Kickstart: from n/a through <= 1.11.6.
📍 영향받는 시스템
immonex Kickstart WordPress plugin version <= 1.11.6
⚔️ 공격 벡터
GET/POST 파라미터를 통해 상대 경로(../)나 절대 경로를 조작하여 원하는 파일을 include/require로 로드하도록 유도
🛡️ 대응 방법
immonex Kickstart를 1.11.7 이상으로 즉시 업그레이드하거나 입력값 검증 및 화이트리스트 기반 파일명 제어 보안 패치 적용
🔧 검증 코드
설치된 immonex-kickstart의 버전을 확인합니다. 1.11.6 이하면 취약점의 영향을 받으므로 즉시 업그레이드 필요
wp plugin list --field=name 2>/dev/null | grep -i immonex && wp plugin get immonex-kickstart --field=version 2>/dev/null || echo 'Not installed'