🇰🇷 한글 설명
WordPress용 'The Bit Flows: AI Agent Automation & Integrations' 플러그인의 1.31.0 이하 모든 버전에는 'image' 파라미터를 통한 로컬 파일 포함(LFI) 취약점이 있습니다. 인증되지 않은 공격자가 서버의 임의 .php 파일을 포함·실행하여 접근 제어 우회, 민감 정보 유출 또는 코드 실행이 가능하며, 관리자가 webhook 본문 필드를 ImageHelper 노드에 연결한 기본 설정 환경에서 악용됩니다.
💡 쉬운 설명
이 플러그인은 외부에서 들어온 요청 값을 검증 없이 파일 경로로 사용해, 해커가 서버 안의 PHP 파일을 불러와 실행할 수 있습니다. 워드프레스 사이트 관리자는 플러그인을 업데이트하고 웹훅 보안 설정을 활성화해야 합니다.
🇺🇸 원문 (English)
The Bit Flows: AI Agent Automation & Integrations for Forms, CRM, eCommerce, Google Sheets, and More plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 1.31.0 via the 'image (any body field referenced by the ImageHelper node's mix tag)' parameter parameter. This makes it possible for unauthenticated attackers to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included. Exploitation requires that an administrator has built a webhook-triggered flow that pipes a webhook body field into an ImageHelper imageToBase64 node, and that the webhook remains in its default configuration (no bearer secret enforced, no IP allowlist set) — a legitimate and documented use case.
📍 영향받는 시스템
WordPress 플러그인 'The Bit Flows' 1.31.0 이하 모든 버전 (ImageHelper 노드와 webhook 기본 설정 사용 시)
⚔️ 공격 벡터
인증 없이 webhook 요청의 image 파라미터에 조작된 로컬 경로를 전달해 서버의 임의 .php 파일을 포함·실행
🛡️ 대응 방법
플러그인을 1.31.0 초과 최신 버전으로 업그레이드하고, webhook에 bearer secret 및 IP 허용 목록을 설정
🔧 검증 코드
출력된 버전이 1.31.0 이하이면 취약하므로 즉시 업데이트가 필요하고, 1.31.0 초과이면 패치된 상태이며, 결과가 없으면 플러그인이 설치되지 않은 것입니다.
wp plugin list --name=bit-flows --fields=name,version,status 2>/dev/null || grep -r "Version:" wp-content/plugins/*bit*flows*/*.php 2>/dev/null