🇰🇷 한글 설명
WordPress의 The Events Manager 플러그인 7.3.7.4 이하 버전에서 em_options_save 함수를 통한 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 관리자 권한을 가진 공격자가 임의의 PHP 파일을 포함 및 실행할 수 있으며, 한 번 저장된 악성 키는 인증되지 않은 요청에서도 실행될 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 웹사이트에 몰래 악성 파일을 심어 서버를 마음대로 조종할 수 있는 보안 구멍입니다. 이 구멍이 뚫리면 해커가 웹사이트의 중요한 정보를 훔치거나 서버를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
The Events Manager – Calendar, Bookings, Tickets, and more! plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 7.3.7.4 via the em_options_save function. This makes it possible for authenticated attackers, with administrator-level access and above, to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included. The stored traversal key is subsequently executed via an include_once() call that fires on every admin_init invocation — including unauthenticated admin-ajax.php requests — meaning once the malicious key is stored by an administrator, the inclusion is triggered without any further authentication or capability check.
📍 영향받는 시스템
The Events Manager WordPress plugin (버전 7.3.7.4 및 그 이하 모든 버전)
⚔️ 공격 벡터
관리자 권한을 이용해 em_options_save 함수에 악성 경로를 저장한 후, include_once() 호출을 유도하여 임의의 PHP 코드 실행
🛡️ 대응 방법
The Events Manager 플러그인을 최신 보안 패치 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 7.3.7.4 이하인지 확인하여 취약 여부를 판단합니다.
wp plugin list --status=active | grep -E 'the-events-manager'