🇰🇷 한글 설명
AncoraThemes Green Planet 플러그인 1.1.14 버전 이하에서 PHP include/require 문의 부적절한 파일명 제어로 인해 발생하는 PHP Local File Inclusion (LFI) 취약점입니다. 공격자는 특정 매개변수를 조작하여 서버의 임의 파일을 포함시키고 실행할 수 있습니다.
💡 쉬운 설명
Green Planet 플러그인이 사용자 입력을 제대로 검증하지 않아, 공격자가 특정 파일을 무단으로 읽거나 실행할 수 있는 보안 결함입니다. 이를 통해 서버의 민감한 정보(암호, 설정 파일 등)에 접근하거나 악의적인 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in AncoraThemes Green Planet green-planet allows PHP Local File Inclusion.This issue affects Green Planet: from n/a through <= 1.1.14.
📍 영향받는 시스템
AncoraThemes Green Planet plugin version <= 1.1.14
⚔️ 공격 벡터
특정 파일 경로를 매개변수로 조작하여 include/require 함수의 인자로 전달, LFI를 통한 원격 코드 실행(RCE) 가능
🛡️ 대응 방법
Green Planet 플러그인을 1.1.15 이상 최신 버전으로 즉시 업데이트하거나 취약한 플러그인을 제거
🔧 검증 코드
Green Planet 플러그인이 설치된 경로와 현재 버전을 확인하여 1.1.14 이하이면 즉시 업데이트 필요
grep -r 'green-planet' /var/www/html/wp-content/plugins/ 2>/dev/null | head -1 && grep -i 'Version:' /var/www/html/wp-content/plugins/green-planet/green-planet.php 2>/dev/null | head -1