🇰🇷 한글 설명
ThemeMove AeroLand 테마에서 PHP의 include/require 문에 전달되는 파일명을 적절히 검증하지 않아 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자는 이를 악용하여 서버의 임의 파일(설정 파일, 데이터베이스 자격증명 등)을 읽거나 실행할 수 있습니다.
💡 쉬운 설명
웹사이트 테마의 파일 읽기 기능 보안이 약해서, 공격자가 원하는 파일을 강제로 읽게 할 수 있습니다. 이를 통해 비밀번호, 설정, 개인정보 등이 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThemeMove AeroLand aeroland allows PHP Local File Inclusion.This issue affects AeroLand: from n/a through <= 1.6.6.
📍 영향받는 시스템
ThemeMove AeroLand 버전 1.6.6 이하 (WordPress 테마)
⚔️ 공격 벡터
공격자가 특수하게 조작된 파일 경로를 입력하여 서버 내 민감한 파일(/etc/passwd, wp-config.php 등) 접근 유도
🛡️ 대응 방법
AeroLand를 1.6.6 초과 버전으로 업그레이드하거나 공식 보안 패치 적용
🔧 검증 코드
명령어 실행 후 버전이 1.6.6 이하면 취약하며, 'not found'면 테마 미설치 상태입니다.
grep -o 'Version: [0-9.]*' /var/www/html/wp-content/themes/aeroland/style.css 2>/dev/null || echo 'AeroLand not found'