🇰🇷 한글 설명
WP Travel Engine 투어 예약 플러그인의 mode 매개변수에 존재하는 Local File Inclusion(LFI) 취약점으로, 인증되지 않은 공격자가 서버의 임의 PHP 파일을 포함하고 실행할 수 있습니다. 이를 통해 PHP 코드 실행, 민감한 데이터 유출, 접근 제어 우회 등이 가능합니다.
💡 쉬운 설명
WordPress 투어 예약 플러그인에서 공격자가 서버 내 파일을 마음대로 실행할 수 있는 보안 문제입니다. 로그인하지 않은 누구나 악의적인 명령을 실행해 서버를 장악할 수 있습니다.
🇺🇸 원문 (English)
The WP Travel Engine – Tour Booking Plugin – Tour Operator Software plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 6.6.7 via the mode parameter. This makes it possible for unauthenticated attackers to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included.
📍 영향받는 시스템
WP Travel Engine – Tour Booking Plugin 6.6.7 이하 모든 버전
⚔️ 공격 벡터
mode 매개변수를 통한 PHP 파일 경로 조작으로 임의의 PHP 파일 실행 (예: ?mode=../../wp-config.php)
🛡️ 대응 방법
플러그인을 6.6.8 이상 최신 버전으로 즉시 업데이트하거나 취약한 플러그인을 비활성화
🔧 검증 코드
WP Travel Engine 플러그인이 설치되어 있으면 설치 경로와 플러그인 목록이 출력되며, 설치되지 않았으면 결과가 없습니다.
grep -r 'WP Travel Engine' /var/www/html/wp-content/plugins/ 2>/dev/null | head -1 && wp plugin list --field=name 2>/dev/null | grep -i 'travel'