🇰🇷 한글 설명
AncoraThemes The Flash 플러그인 1.15 버전 이하에서 PHP Include/Require 문에 대한 부적절한 파일명 제어로 인해 로컬 파일 포함(LFI) 취약점이 발생합니다. 공격자가 조작된 파일 경로 매개변수를 통해 서버의 임의 파일을 읽고 민감한 정보(설정, 암호, API 키)를 노출시킬 수 있습니다.
💡 쉬운 설명
The Flash 플러그인이 사용자가 입력한 파일 경로를 검증 없이 수용하여 공격자가 서버 내 숨겨진 파일을 읽을 수 있습니다. 데이터베이스 접속 정보나 개인정보가 쉽게 탈취될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in AncoraThemes The Flash theflash allows PHP Local File Inclusion.This issue affects The Flash: from n/a through <= 1.15.
📍 영향받는 시스템
AncoraThemes The Flash v1.15 이하
⚔️ 공격 벡터
HTTP GET/POST 요청의 파일 경로 매개변수에 상대 경로(../../config.php 등)를 주입하여 include/require 함수 우회
🛡️ 대응 방법
플러그인을 1.16 이상으로 업데이트하거나, 임시 방편으로 플러그인 비활성화 후 공급업체 패치 대기
🔧 검증 코드
The Flash 플러그인 디렉토리에서 사용자 입력 변수($_ 변수)를 직접 include/require에 사용하는 파일을 찾습니다. 발견되면 즉시 업데이트 필요
find /var/www -name '*the-flash*' -type d 2>/dev/null | xargs grep -l 'include.*\$_' 2>/dev/null | head -1