🇰🇷 한글 설명
WordPress WP User Manager 플러그인 2.9.17 버전 이하에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 이 취약점을 통해 비인증 공격자는 서버의 임의 PHP 파일을 포함하고 실행할 수 있습니다.
💡 쉬운 설명
웹사이트 관리자가 알지 못하는 사이에 해커가 서버의 중요한 파일을 읽어오거나 악성 코드를 실행할 수 있는 구멍이 있습니다. 플러그인을 최신 버전으로 업데이트하여 이 위험을 즉시 차단해야 합니다.
🇺🇸 원문 (English)
The WP User Manager – User Profile Builder & Membership plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 2.9.17 via the (profile template scope) function. This makes it possible for unauthenticated attackers to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included.
📍 영향받는 시스템
WordPress WP User Manager plugin versions <= 2.9.17
⚔️ 공격 벡터
Unauthenticated attacker exploits the profile template scope function to include and execute arbitrary PHP files.
🛡️ 대응 방법
Update WP User Manager plugin to version 2.9.18 or later.
🔧 검증 코드
출력된 버전이 2.9.17 이하이거나 명령어가 실패하면 취약한 버전으로 판단하여 즉시 업그레이드해야 합니다.
wp plugin list --format=json | jq -r '.[] | select(.name=="wp-user-manager") | .version'