🇰🇷 한글 설명
WordPress Porto 테마의 로컬 파일 포함(LFI) 취약점으로, 기여자 이상 권한의 인증된 사용자가 'porto_page_header_shortcode_type', 'slideshow_type', 'post_layout' 메타 필드를 통해 임의의 파일을 포함 및 실행 가능합니다. 버전 7.1.0까지 영향을 받으며 7.1.1에서 완벽히 패치되었습니다.
💡 쉬운 설명
WordPress Porto 테마에서 관리자 권한 사용자가 서버 내 파일을 무단으로 열람하고 실행할 수 있는 결함입니다. 민감 정보 노출이나 악의적 코드 실행으로 이어질 수 있습니다.
🇺🇸 원문 (English)
The Porto theme for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 7.1.0 via 'porto_page_header_shortcode_type', 'slideshow_type' and 'post_layout' post meta. This makes it possible for authenticated attackers, with contributor-level and above permissions, to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where php file type can be uploaded and included. This was partially patched in version 7.1.0 and fully patched in version 7.1.1.
📍 영향받는 시스템
Porto WordPress theme versions up to and including 7.1.0
⚔️ 공격 벡터
Authenticated attacker with contributor+ permissions manipulates porto post meta fields to include and execute arbitrary files containing malicious PHP code
🛡️ 대응 방법
Update Porto theme to version 7.1.1 or later
🔧 검증 코드
버전이 7.1.1 이상이면 안전하고, 7.1.0 이하면 즉시 업데이트 필요합니다.
grep 'Version:' /var/www/html/wp-content/themes/porto/style.css 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'