🇰🇷 한글 설명
bslthemes Kinsley 테마에서 파일 포함 문 관련 파일명 제어 부족으로 인한 PHP 로컬 파일 포함(LFI) 취약점입니다. 공격자가 부적절하게 필터링되지 않은 입력값을 통해 서버의 임의 파일을 읽을 수 있게 됩니다. 버전 3.4.4 이하가 영향을 받습니다.
💡 쉬운 설명
WordPress의 Kinsley 테마에서 악의적인 사용자가 특수한 요청을 보내 서버의 중요한 파일들(설정, 비밀번호 등)을 읽을 수 있는 보안 문제입니다. 공격자가 웹사이트를 통해 서버 내부의 민감한 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in bslthemes Kinsley kinsley allows PHP Local File Inclusion.This issue affects Kinsley: from n/a through <= 3.4.4.
📍 영향받는 시스템
bslthemes Kinsley theme versions <= 3.4.4
⚔️ 공격 벡터
Attacker sends crafted requests with path traversal sequences or malicious file parameters to include arbitrary local files on the server
🛡️ 대응 방법
업그레이드 Kinsley 테마를 3.4.5 이상 버전으로 업데이트하거나, 보안 패치가 제공될 때까지 테마 비활성화
🔧 검증 코드
명령어 실행 후 입력값으로부터 직접 파일을 포함하는 구문이 있다면 취약점 확인 가능하며, 결과가 없으면 패치되었을 가능성
grep -r 'include\|require' /path/to/kinsley/theme --include='*.php' | grep -E '\$_(GET|POST|REQUEST|COOKIE)' | head -5