🇰🇷 한글 설명
axiomthemes Good Mood 테마에서 PHP include/require 함수의 파일명 제어가 부적절하여 로컬 파일 포함(LFI) 공격이 가능합니다. 공격자는 악의적인 입력을 통해 서버의 임의 파일에 접근할 수 있으며, 시스템 정보 유출 또는 원격 코드 실행으로 이어질 수 있습니다.
💡 쉬운 설명
Good Mood 테마에서 파일을 불러오는 기능에 보안 결함이 있어 공격자가 서버의 숨겨진 파일들을 읽을 수 있습니다. 이를 통해 중요한 정보를 빼내거나 더 큰 공격을 시작할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in axiomthemes Good Mood good-mood allows PHP Local File Inclusion.This issue affects Good Mood: from n/a through <= 1.16.
📍 영향받는 시스템
axiomthemes Good Mood 테마 버전 1.16 이하
⚔️ 공격 벡터
PHP include/require 함수에 사용자 입력을 필터링하지 않은 채 전달하여 경로 조작(../)으로 임의 파일 접근
🛡️ 대응 방법
Good Mood 테마를 최신 버전으로 업데이트하거나 php.ini의 allow_url_include를 비활성화하고 입력값 검증 강화
🔧 검증 코드
결과에서 사용자 입력($GET, $POST 등)을 직접 include/require에 전달하는 패턴이 보이면 취약점 확인, 해당 테마 업데이트 필요
grep -r 'include\|require' /path/to/good-mood/theme | grep -vE '^[[:space:]]*(//|#|\*|\*)' | head -10