🇰🇷 한글 설명
The Duplicator 및 duplicator-pro WordPress 플러그인 5.1.0 이전 버전은 일부 내장 PHP 파일에 대한 직접 접근을 막지 않습니다. 이 파일들은 예상된 컨텍스트 없이 초기화되어 치명적 오류를 발생시키며, 인증되지 않은 사용자에게 서버의 절대 파일시스템 경로가 포함된 스택 트레이스를 노출합니다.
💡 쉬운 설명
웹사이트에 설치된 특정 플러그인의 내부 파일에 누구나 직접 접근할 수 있습니다. 그 과정에서 서버의 파일 저장 위치 같은 민감한 정보가 화면에 노출될 수 있습니다.
🇺🇸 원문 (English)
The Duplicator WordPress plugin before 5.1.0, duplicator-pro WordPress plugin before 5.1.0 does not prevent direct access to some of its bundled PHP files, which initialise without their expected context, trigger a fatal error, and return a stack trace that discloses the server's absolute filesystem paths to unauthenticated users.
📍 영향받는 시스템
The Duplicator 및 Duplicator Pro WordPress 플러그인 5.1.0 미만 버전
⚔️ 공격 벡터
공격자가 취약한 플러그인 PHP 파일의 URL에 인증 없이 직접 요청을 보내 오류 페이지의 스택 트레이스에서 서버 절대 경로를 수집합니다.
🛡️ 대응 방법
The Duplicator 및 Duplicator Pro 플러그인을 5.1.0 이상으로 업데이트합니다.
🔧 검증 코드
출력된 버전이 5.1.0 이상이면 패치된 상태이며, 5.1.0 미만이거나 결과가 없으면 취약하거나 설치되지 않은 상태이므로 설치 여부와 버전을 추가 확인해야 합니다.
wp plugin list --name=duplicator --field=version 2>/dev/null; wp plugin list --name=duplicator-pro --field=version 2>/dev/null