🇰🇷 한글 설명
axiomthemes의 Welldone WordPress 플러그인 2.4 이하 버전에서 발생하는 PHP Remote File Inclusion(RFI) 취약점입니다. 파일명 입력값에 대한 검증이 부족하여 공격자가 악의적인 파일을 포함시킬 수 있습니다.
💡 쉬운 설명
Welldone 플러그인이 사용자 입력한 파일 경로를 검증 없이 그대로 사용하므로, 공격자가 특정 파일을 웹사이트에서 실행하게 할 수 있습니다. 웹사이트의 민감한 파일(비밀번호, 설정 등)을 노출시키거나 악성 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in axiomthemes Welldone welldone allows PHP Local File Inclusion.This issue affects Welldone: from n/a through <= 2.4.
📍 영향받는 시스템
axiomthemes Welldone WordPress plugin version 2.4 and earlier
⚔️ 공격 벡터
Attacker manipulates file inclusion parameters to access /etc/passwd, wp-config.php, or execute remote PHP files via URI manipulation
🛡️ 대응 방법
Update Welldone plugin to version 2.5 or later, or disable the plugin if update is unavailable
🔧 검증 코드
명령어 실행 후 표시되는 버전 번호가 2.4 이하면 취약함, 2.5 이상이면 패치됨
grep -r "Version:" wp-content/plugins/welldone/ 2>/dev/null | head -1