🇰🇷 한글 설명
jwsthemes StreamVid 플러그인에서 PHP Include/Require 문의 파일명을 부적절하게 제어하여 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자는 파라미터 조작을 통해 서버의 임의 파일을 포함하도록 유도할 수 있습니다. 버전 6.8.6 미만에서 영향을 받습니다.
💡 쉬운 설명
StreamVid 플러그인이 사용자 입력을 검증하지 않아 공격자가 서버의 민감한 파일(설정 파일, 비밀키 등)에 접근할 수 있습니다. 이를 통해 데이터베이스 자격증명이나 개인정보를 탈취당할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in jwsthemes StreamVid streamvid allows PHP Local File Inclusion.This issue affects StreamVid: from n/a through < 6.8.6.
📍 영향받는 시스템
jwsthemes StreamVid 플러그인 6.8.6 미만의 모든 버전
⚔️ 공격 벡터
HTTP 요청에서 파일 경로를 지정하는 파라미터(예: ?file=../../../etc/passwd)를 조작하여 서버의 임의 파일 포함
🛡️ 대응 방법
StreamVid 플러그인을 6.8.6 이상으로 즉시 업데이트하고, 추가로 웹 애플리케이션 방화벽(WAF)으로 LFI 시도 차단
🔧 검증 코드
플러그인 버전이 6.8.6 미만이면 취약점 영향을 받음. 'Plugin not found'가 출력되면 설치되지 않았거나 버전이 안전함을 의미합니다.
grep -r 'Version.*6\.[0-7]\|6\.8\.[0-5]' /path/to/streamvid/streamvid.php 2>/dev/null || echo 'Plugin not found or version safe'