🇰🇷 한글 설명
Select Core select-core 플러그인 2.6 미만 버전에서 PHP 파일 포함/요구 문장에 대한 파일명 제어가 부적절하여 로컬 파일 포함(LFI) 취약점이 발생합니다. 공격자가 이를 악용하여 서버의 임의 파일에 접근하고 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
플러그인이 사용자 입력을 제대로 검증하지 않아 서버의 중요 파일들을 공격자가 읽을 수 있는 심각한 보안 결함입니다. 비밀번호, 설정 정보, 데이터베이스 정보 등이 유출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Select-Themes Select Core select-core allows PHP Local File Inclusion.This issue affects Select Core: from n/a through < 2.6.
📍 영향받는 시스템
Select-Themes Select Core (select-core) 플러그인 버전 2.6 미만
⚔️ 공격 벡터
악의적인 파라미터를 통해 파일 포함 경로를 조작하여 /etc/passwd, wp-config.php 등 민감한 파일 접근
🛡️ 대응 방법
Select Core 플러그인을 버전 2.6 이상으로 즉시 업데이트하거나 비활성화
🔧 검증 코드
명령어 실행 후 버전 번호가 2.6 이상이면 안전, 2.6 미만이거나 출력 없으면 플러그인이 없거나 취약함
grep -r "Version:" /wp-content/plugins/select-core 2>/dev/null | head -1