🇰🇷 한글 설명
StylemixThemes Consulting 플러그인에서 파일명 입력값을 제대로 검증하지 않아 PHP Local File Inclusion(LFI) 또는 Remote File Inclusion(RFI) 공격이 가능한 취약점입니다. 공격자가 조작된 요청을 통해 서버의 임의 파일을 읽거나 원격 악성 코드를 실행할 수 있습니다.
💡 쉬운 설명
플러그인이 사용자가 업로드한 파일 경로를 충분히 검증하지 않아서, 공격자가 서버의 다른 파일들을 읽거나 인터넷에서 악성 코드를 받아서 실행할 수 있는 문제입니다. 웹사이트의 민감한 정보(설정파일, 데이터베이스 정보 등)가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in StylemixThemes Consulting consulting allows PHP Local File Inclusion.This issue affects Consulting: from n/a through < 6.7.5.
📍 영향받는 시스템
StylemixThemes Consulting WordPress 플러그인 버전 6.7.5 미만
⚔️ 공격 벡터
플러그인의 파일 포함 함수에 조작된 경로 파라미터를 전달하여 로컬 또는 원격 파일을 로드
🛡️ 대응 방법
Consulting 플러그인을 6.7.5 이상으로 즉시 업데이트
🔧 검증 코드
반환된 버전이 6.7.5 이상이면 안전하고, 6.7.5 미만이면 취약점이 있는 상태입니다.
curl -s https://api.wordpress.org/plugins/info/1.0/consulting.json 2>/dev/null | grep -oP '"version":\s*"\K[^"]+' | head -1