🇰🇷 한글 설명
AncoraThemes Crown Art 플러그인의 파일 포함 처리 과정에서 부적절한 제어로 인해 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자가 특정 파라미터를 조작하여 서버의 임의의 파일을 읽을 수 있습니다. 버전 1.2.11 이하에서 이 취약점이 존재합니다.
💡 쉬운 설명
Crown Art 플러그인에서 파일을 불러오는 방식에 문제가 있어서, 공격자가 서버에 있는 민감한 파일(설정 파일, 데이터베이스 정보 등)을 몰래 읽을 수 있습니다. 이 문제는 크라운 아트 1.2.11 버전 이하에서 발생합니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in AncoraThemes Crown Art crown-art allows PHP Local File Inclusion.This issue affects Crown Art: from n/a through <= 1.2.11.
📍 영향받는 시스템
AncoraThemes Crown Art WordPress plugin <= 1.2.11
⚔️ 공격 벡터
GET/POST 파라미터 조작을 통한 로컬 파일 포함(LFI) 공격으로 /etc/passwd, wp-config.php 등 서버 파일 접근
🛡️ 대응 방법
Crown Art 플러그인을 1.2.12 이상으로 업데이트하거나 플러그인 비활성화/삭제
🔧 검증 코드
플러그인의 버전 정보를 확인하여 1.2.11 이하이면 취약하고, 1.2.12 이상이면 패치됨을 의미합니다.
grep -r 'Version:' /var/www/html/wp-content/plugins/crown-art/crown-art.php 2>/dev/null | head -1