🇰🇷 한글 설명
villatheme의 Sales Countdown Timer 플러그인에서 PHP include/require 문장의 파일명 입력값을 부적절하게 검증하여 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자가 조작된 파일 경로를 통해 임의의 파일을 실행할 수 있습니다.
💡 쉬운 설명
WordPress의 Countdown Timer 플러그인이 파일을 잘못 처리하여 공격자가 악의적인 코드를 로드하고 실행할 수 있게 되는 문제입니다. 영향을 받는 버전은 1.1.9 미만입니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in villatheme Sales Countdown Timer for WooCommerce and WordPress sctv-sales-countdown-timer allows PHP Local File Inclusion.This issue affects Sales Countdown Timer for WooCommerce and WordPress: from n/a through < 1.1.9.
📍 영향받는 시스템
villatheme Sales Countdown Timer for WooCommerce and WordPress (sctv-sales-countdown-timer) 버전 < 1.1.9
⚔️ 공격 벡터
파일 경로 파라미터를 조작하여 include/require 문장이 로컬 파일을 로드하도록 강제
🛡️ 대응 방법
플러그인을 버전 1.1.9 이상으로 즉시 업데이트
🔧 검증 코드
Version이 1.1.9 미만이면 취약한 상태이며, 1.1.9 이상이면 패치됨
find /var/www -name 'sctv-sales-countdown-timer.php' -exec grep -m1 'Version:' {} +