🇰🇷 한글 설명
Averta Phlox Portfolio 2.3.1 이하 버전에 경로 조작(Path Traversal) 취약점이 존재하여, 공격자가 웹 루트 디렉토리 외부의 파일에 접근할 수 있습니다. 이를 통해 PHP Local File Inclusion(LFI) 공격이 가능하며, 시스템의 민감한 정보(설정 파일, 소스코드 등)를 유출당할 수 있습니다.
💡 쉬운 설명
Phlox Portfolio 플러그인에서 파일 경로를 잘못 검증하는 문제로, 공격자가 정상적으로 접근할 수 없는 서버의 파일들을 읽을 수 있습니다. 이를 통해 데이터베이스 접속정보나 개인정보 같은 민감한 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Averta Phlox Portfolio allows PHP Local File Inclusion.This issue affects Phlox Portfolio: from n/a through 2.3.1.
📍 영향받는 시스템
Averta Phlox Portfolio v2.3.1 이하
⚔️ 공격 벡터
HTTP GET/POST 요청에서 파일 경로 파라미터에 '../' 시퀀스를 조작하여 제한된 디렉토리 외부의 파일 접근
🛡️ 대응 방법
v2.3.2 이상으로 즉시 업그레이드 또는 플러그인 비활성화
🔧 검증 코드
명령어 실행 후 출력된 버전 번호가 2.3.1 이하면 취약, 2.3.2 이상이면 패치됨
grep -i "version" wp-content/plugins/phlox-portfolio/phlox-portfolio.php 2>/dev/null | head -1