🇰🇷 한글 설명
WebCodingPlace Responsive Posts Carousel Pro 플러그인의 PHP Include/Require 문에서 파일명 검증 부재로 인한 로컬 파일 포함(LFI) 취약점입니다. 버전 15.1 이하에서 공격자가 악의적 파라미터를 통해 서버 임의의 파일을 읽을 수 있습니다. 설정 파일, 데이터베이스 정보, 사용자 정보 등 민감 정보 유출 위험이 높습니다.
💡 쉬운 설명
WordPress 플러그인의 버그로 공격자가 서버에 저장된 숨겨진 파일들을 읽을 수 있게 해주는 취약점입니다. 비밀번호나 개인정보 같은 중요한 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in WebCodingPlace Responsive Posts Carousel Pro responsive-posts-carousel-pro allows PHP Local File Inclusion.This issue affects Responsive Posts Carousel Pro: from n/a through <= 15.1.
📍 영향받는 시스템
WebCodingPlace Responsive Posts Carousel Pro version 15.1 and below
⚔️ 공격 벡터
악의적으로 조작된 URL 파라미터를 통해 Include/Require 함수에 파일 경로를 주입하여 임의 로컬 파일 포함
🛡️ 대응 방법
플러그인을 15.2 이상 최신 버전으로 즉시 업데이트하고 입력값에 대한 엄격한 검증 및 화이트리스트 적용
🔧 검증 코드
플러그인 디렉토리 발견되면 설치 상태 확인, 버전이 15.1 이하면 취약 상태입니다. 결과 없으면 플러그인 미설치 상태
find /var/www/html/wp-content/plugins -name 'responsive-posts-carousel-pro' -type d 2>/dev/null && grep -h 'Version:' /var/www/html/wp-content/plugins/responsive-posts-carousel-pro/*.php 2>/dev/null | head -1