🇰🇷 한글 설명
Zenny 테마의 파일 포함 기능에서 파일명이 적절히 검증되지 않아 발생하는 PHP 로컬/원격 파일 포함(LFI/RFI) 취약점입니다. 공격자는 조작된 매개변수를 통해 임의의 파일을 포함시켜 원격 코드 실행이 가능합니다. 1.7.5 이하 모든 버전이 영향을 받습니다.
💡 쉬운 설명
Zenny 테마에서 파일 경로를 검증하지 않아, 공격자가 악의적인 파일이나 시스템 파일을 강제로 실행할 수 있는 취약점입니다. 이를 통해 웹사이트 전체가 장악되거나 개인정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in BZOTheme Zenny bw-zenny allows PHP Local File Inclusion.This issue affects Zenny: from n/a through <= 1.7.5.
📍 영향받는 시스템
BZOTheme Zenny v1.7.5 이하
⚔️ 공격 벡터
GET/POST 요청으로 조작된 파일 경로 매개변수 전달
🛡️ 대응 방법
Zenny 테마를 1.7.6 이상으로 업그레이드하거나 테마 사용 중단
🔧 검증 코드
명령어가 'Vulnerable'을 반환하면 1.7.5 이하 버전 설치 상태이며 즉시 업그레이드 필요
grep -E 'Version:.*1\.[0-7]\.[0-5]' wp-content/themes/zenny/style.css 2>/dev/null && echo 'Vulnerable' || echo 'Not vulnerable or not installed'