🇰🇷 한글 설명
Axiomthemes Catamaran 1.15 이하 버전에서 PHP include/require 문장의 파일명 제어 부실로 인한 원격/로컬 파일 포함(RFI/LFI) 취약점입니다. 공격자가 악의적인 파일 경로를 주입하여 임의의 파일을 포함시키거나 코드를 실행할 수 있습니다.
💡 쉬운 설명
WordPress 테마의 파일 로딩 기능에서 입력값 검증이 없어 공격자가 원하는 파일을 강제로 실행하게 할 수 있습니다. 서버 파일 노출이나 악성 코드 실행으로 이어질 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in axiomthemes Catamaran catamaran allows PHP Local File Inclusion.This issue affects Catamaran: from n/a through <= 1.15.
📍 영향받는 시스템
Axiomthemes Catamaran 테마 버전 1.15 이하
⚔️ 공격 벡터
URL 파라미터나 POST 요청으로 파일 경로를 조작하여 include/require에 악의적인 파일 경로 전달
🛡️ 대응 방법
Catamaran 테마를 1.15 이후 최신 버전으로 업데이트하거나 입력 검증 패치 적용
🔧 검증 코드
사용자 입력값이 직접 include/require에 사용되는 코드가 발견되면 취약점 확인, 발견되지 않으면 패치됨
grep -Er '\$_(GET|POST|REQUEST)\[.*\].*include|require' /wp-content/themes/catamaran/ --include='*.php'