🇰🇷 한글 설명
WordPress용 ShopMagic 이메일 자동화 플러그인 4.9.0 이하 버전에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 공격자는 'billing_address.first_name' 파라미터를 통해 인증 없이 임의의 PHP 파일을 포함하고 실행할 수 있습니다. 이는 권한 우회, 민감 데이터 탈취 또는 원격 코드 실행으로 이어질 수 있습니다.
💡 쉬운 설명
쇼핑몰 플러그인의 이름 입력란에 악성 코드가 담긴 파일을 불러오도록 명령을 내려 서버를 해킹할 수 있는 문제입니다. 별도의 로그인 없이도 누구나 공격할 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
The ShopMagic – email automation for WordPress plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 4.9.0 via the 'billing_address.first_name' parameter parameter. This makes it possible for unauthenticated attackers to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included. Exploitation requires a published recipe that processes the {{ customer.first_name }} placeholder — the plugin's built-in "New Order email with social media profile links" recipe satisfies this requirement out of the box, making the default configuration exploitable with no account, cookie, or nonce by simply submitting a guest checkout with the payload as the billing first name.
📍 영향받는 시스템
ShopMagic – email automation for WordPress (버전 4.9.0 및 그 이하 모든 버전)
⚔️ 공격 벡터
비인증 공격자가 게스트 결제 시 이름(billing_address.first_name) 필드에 악성 경로를 삽입하여 서버 내 PHP 파일을 실행
🛡️ 대응 방법
ShopMagic 플러그인을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 ShopMagic 플러그인의 버전을 확인하여 4.9.0 이하인지 점검하십시오.
wp plugin list --status=active | grep -i 'shopmagic'