🇰🇷 한글 설명
ApusTheme Yozi 테마의 PHP 파일 포함 명령어 부적절한 제어로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자는 이를 악용하여 웹 서버 상의 임의 파일을 읽거나 실행할 수 있습니다. 버전 2.0.63 이하에서 발생합니다.
💡 쉬운 설명
Yozi 테마에서 파일 경로를 검증하지 않아 공격자가 서버 내 원하는 파일을 열람할 수 있는 보안 결함입니다. 민감한 설정 파일이나 소스 코드가 유출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ApusTheme Yozi yozi allows PHP Local File Inclusion.This issue affects Yozi: from n/a through <= 2.0.63.
📍 영향받는 시스템
ApusTheme Yozi <= 2.0.63
⚔️ 공격 벡터
조작된 파일 경로 파라미터를 통해 HTTP 요청으로 로컬 파일 접근 (예: /?file=../../../etc/passwd)
🛡️ 대응 방법
ApusTheme Yozi를 2.0.64 이상으로 업그레이드하거나 파일 포함 기능을 비활성화하고 입력 검증을 강화
🔧 검증 코드
명령어 실행 후 파일 포함 함수 사용 부분이 나타나면 해당 코드에서 사용자 입력 검증 여부 확인
grep -r "include\|require" $(find /var/www -name '*yozi*' -type d 2>/dev/null) 2>/dev/null | head -20