🇰🇷 한글 설명
Laurent Core 플러그인의 파일 포함 함수에서 입력값을 제대로 검증하지 않아 발생하는 PHP 로컬 파일 포함(LFI) 취약점입니다. 공격자가 조작된 경로를 통해 서버의 임의 파일에 접근 가능하며, wp-config.php 등 민감한 파일 탈취 위험이 있습니다. 2.4.1 이하 모든 버전이 영향을 받습니다.
💡 쉬운 설명
Laurent Core 플러그인이 파일을 잘못 불러와서 공격자가 서버의 숨겨진 파일들에 접근할 수 있습니다. 비밀번호, 설정 정보 같은 민감한 데이터가 도용될 위험이 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Elated-Themes Laurent Core laurent-core allows PHP Local File Inclusion.This issue affects Laurent Core: from n/a through <= 2.4.1.
📍 영향받는 시스템
Laurent Core (WordPress Plugin) version <= 2.4.1
⚔️ 공격 벡터
플러그인의 include/require 파라미터에 '../' 또는 절대 경로 등을 조작하여 서버 파일시스템 접근 (예: /etc/passwd, wp-config.php 읽기)
🛡️ 대응 방법
Laurent Core를 2.4.2 이상으로 즉시 업그레이드하고 wp-config.php 등 중요 파일의 접근 권한 제한
🔧 검증 코드
설치된 Laurent Core 플러그인의 위치를 확인하고 플러그인 폴더 내 readme.txt 또는 composer.json에서 버전번호를 확인하여 2.4.1 이하면 취약
grep -r 'laurent-core' /path/to/wp-content/plugins/*/composer.json 2>/dev/null | head -1 || ls /path/to/wp-content/plugins/ | grep -i laurent