🇰🇷 한글 설명
axiomthemes Palatio 테마의 PHP include/require 문에서 파일명을 부적절하게 제어하여 발생하는 로컬/원격 파일 포함 취약점입니다. 공격자가 악의적인 매개변수를 통해 로컬 파일을 노출하거나 원격 코드를 실행할 수 있어 CVSS 8.1(높음)로 평가되었습니다.
💡 쉬운 설명
WordPress 테마인 Palatio에서 파일 접근 경로를 검증하지 않아 공격자가 서버의 민감한 파일에 접근하거나 악의적인 코드를 실행할 수 있는 문제입니다. 서버의 설정 파일, 데이터베이스 정보 등이 노출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in axiomthemes Palatio palatio allows PHP Local File Inclusion.This issue affects Palatio: from n/a through <= 1.6.
📍 영향받는 시스템
axiomthemes Palatio WordPress 테마 버전 1.6 이하
⚔️ 공격 벡터
HTTP GET/POST 요청으로 include/require 매개변수를 조작하여 LFI 또는 RFI 페이로드 주입
🛡️ 대응 방법
Palatio 테마를 1.7 이상의 최신 버전으로 즉시 업데이트하고, 임시 조치로 테마를 비활성화
🔧 검증 코드
반환된 버전이 1.6 이하면 취약합니다. 1.7 이상이면 패치된 상태입니다.
curl -s 'https://api.wordpress.org/plugins/info/1.0/palatio.json' 2>/dev/null | grep -oP '"version":\s*"\K[^"]+' | head -1