🇰🇷 한글 설명
THEMELOGI Navian 테마 플러그인의 PHP 파일 포함 취약점으로, 악의적인 사용자가 부적절하게 제어된 파일명을 통해 로컬 또는 원격 파일을 포함시킬 수 있습니다. 이는 임의의 파일 읽기, 코드 실행, 시스템 정보 유출 등을 야기할 수 있으며 Navian 1.5.4 이하 모든 버전에 영향을 미칩니다.
💡 쉬운 설명
Navian 테마에서 사용자가 조작한 경로로 파일을 불러오게 하는 보안 문제입니다. 공격자가 이를 악용하면 서버의 민감한 파일을 읽거나 악성 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in THEMELOGI Navian navian allows PHP Local File Inclusion.This issue affects Navian: from n/a through <= 1.5.4.
📍 영향받는 시스템
THEMELOGI Navian <= 1.5.4 모든 버전
⚔️ 공격 벡터
HTTP GET/POST 요청 파라미터를 통한 파일경로 조작으로 include/require 함수에 임의 파일 경로 전달
🛡️ 대응 방법
Navian을 1.5.5 이상으로 업그레이드하고, 입력값 검증 및 화이트리스트 기반 파일 포함 제한 적용
🔧 검증 코드
취약한 include/require 문에서 사용자 입력을 직접 사용하는 코드가 검출되면 위험, 코드가 없거나 입력 검증이 있으면 안전
find /var/www -name 'navian' -type d 2>/dev/null | head -1 | xargs -I {} grep -r 'include\|require' {} 2>/dev/null | grep -E '\$_(GET|POST|REQUEST)' | head -5