🇰🇷 한글 설명
Mikado-Themes GrandPrix 테마 1.6 이하 버전에서 경로 순회 취약점('.../...//' 패턴)을 통해 PHP 로컬 파일 포함(LFI) 공격이 가능합니다. 이를 통해 공격자가 웹 서버에서 임의의 파일을 읽을 수 있습니다.
💡 쉬운 설명
GrandPrix 테마의 경로 입력 처리 과정에서 특수 문자 검증이 불충분하여, 공격자가 상위 디렉토리로 이동하여 시스템 파일을 열람할 수 있습니다. 웹 서버에 접근 가능한 모든 파일(설정, 데이터베이스 정보 등)이 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Path Traversal: '.../...//' vulnerability in Mikado-Themes GrandPrix grandprix allows PHP Local File Inclusion.This issue affects GrandPrix: from n/a through <= 1.6.
📍 영향받는 시스템
Mikado-Themes GrandPrix <= 1.6
⚔️ 공격 벡터
HTTP GET 요청의 경로 파라미터에 '.../' 또는 '../' 시퀀스를 삽입하여 상위 디렉토리 접근
🛡️ 대응 방법
GrandPrix 테마를 1.7 이상 버전으로 업데이트하거나, 임시 조치로 경로 순회 패턴을 필터링하는 WAF 규칙 적용
🔧 검증 코드
Version 값이 1.6 이하이면 취약함. 1.7 이상이면 패치됨
find /var/www/html/wp-content/themes/grandprix -name 'style.css' -exec grep -E 'Version: [0-9.]+' {} \; | head -1