🇰🇷 한글 설명
axiomthemes FitFlex WordPress 테마 1.6 이하 버전에서 PHP include/require 문에 대한 부적절한 파일명 제어로 인한 로컬 파일 포함(LFI) 취약점. 공격자가 조작된 매개변수를 통해 서버의 민감한 파일(설정파일, 데이터베이스 정보 등)에 접근할 수 있습니다.
💡 쉬운 설명
FitFlex 테마의 보안 결함으로 공격자가 서버에 있는 임의의 파일을 읽을 수 있게 하는 취약점입니다. 이를 통해 개인정보, 데이터베이스 암호, API 키 등이 노출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in axiomthemes FitFlex fitflex allows PHP Local File Inclusion.This issue affects FitFlex: from n/a through <= 1.6.
📍 영향받는 시스템
axiomthemes FitFlex theme version 1.6 and earlier
⚔️ 공격 벡터
Attacker sends HTTP requests with specially crafted file path parameters (e.g., ../../../../etc/passwd) to bypass file inclusion validation
🛡️ 대응 방법
Update FitFlex theme to version 1.7 or later, or remove the vulnerable theme if updates are unavailable
🔧 검증 코드
테마가 설치되어 있으면 버전 정보가 출력되며(Version: X.X 형식), 1.6 이하면 취약합니다. 파일이 없으면 테마가 설치되지 않은 상태입니다.
head -20 /var/www/html/wp-content/themes/fitflex/style.css 2>/dev/null | grep -i version