🇰🇷 한글 설명
WordPress의 Divi Ajax Filter 플러그인 5.1.2 버전 이하에서 'custom_loop_template' 파라미터를 통한 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버의 임의 .php 파일을 포함하고 실행하여 임의의 PHP 코드를 실행할 수 있습니다. 이 취약점은 loop_templates 파라미터가 'custom-template'으로 설정된 경우에만 악용 가능합니다.
💡 쉬운 설명
해커가 웹사이트의 특정 설정값을 조작하여 서버에 저장된 몰래 숨겨둔 악성 파일을 실행시킬 수 있는 보안 구멍입니다. 이를 통해 해커는 웹사이트의 권한을 탈취하거나 중요한 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
The Divi Ajax Filter plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 5.1.2 via the 'custom_loop_template' parameter parameter. This makes it possible for unauthenticated attackers to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included. This vulnerability is only exploitable when the loop_templates parameter is set to 'custom-template'.
📍 영향받는 시스템
Divi Ajax Filter plugin for WordPress (version 5.1.2 and below)
⚔️ 공격 벡터
인증되지 않은 공격자가 'custom_loop_template' 파라미터에 조작된 경로를 입력하여 서버 내 파일을 실행
🛡️ 대응 방법
Divi Ajax Filter 플러그인을 최신 버전으로 업데이트하거나, 사용하지 않는 경우 삭제하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인이 나타나면 설치된 것이며, 설치된 버전이 5.1.2 이하인지 확인해야 합니다.
wp plugin list --allow-root | grep -E 'divi-ajax-filter'