🇰🇷 한글 설명
WordPress BizCalendar Web 플러그인 버전 1.1.0.53 이하에서 'bizcalv' 숏코드를 통한 로컬 파일 포함(LFI) 취약점이 존재합니다. Contributor 이상의 권한을 가진 인증된 공격자가 임의 파일을 포함 및 실행하여 PHP 코드를 실행할 수 있으며, 이미지 등 안전한 파일 유형 업로드를 통해 접근 제어 우회, 민감 정보 획득, 코드 실행을 달성할 수 있습니다.
💡 쉬운 설명
WordPress의 BizCalendar 플러그인에서 특정 사용자가 업로드한 파일을 강제로 실행할 수 있는 버그입니다. 공격자가 이를 악용해 웹사이트를 완전히 제어하거나 민감한 데이터를 탈취할 수 있습니다.
🇺🇸 원문 (English)
The BizCalendar Web plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 1.1.0.53 via the 'bizcalv' shortcode. This makes it possible for authenticated attackers, with Contributor-level access and above, to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where images and other “safe” file types can be uploaded and included.
📍 영향받는 시스템
WordPress BizCalendar Web plugin 버전 1.1.0.53 이하
⚔️ 공격 벡터
인증된 Contributor 이상 권한 사용자가 'bizcalv' 숏코드를 통해 LFI 페이로드를 주입하여 업로드된 PHP 파일 실행
🛡️ 대응 방법
BizCalendar Web 플러그인을 최신 버전(1.1.0.54+)으로 즉시 업데이트
🔧 검증 코드
플러그인의 버전 번호가 1.1.0.53 이하로 나타나면 취약함; 1.1.0.54 이상이면 패치됨
curl -s http://target-site | grep -i 'bizcalendar.*version' || grep -r 'Version:.*1\.1\.0\.[0-5][0-3]' wp-content/plugins/