🇰🇷 한글 설명
PHP의 include/require 함수에서 파일명 제어 부전으로 인한 Local File Inclusion(LFI) 취약점입니다. 공격자가 조작된 입력값을 통해 서버의 임의 파일을 포함시킬 수 있으며, 민감한 설정 파일이나 개인정보 파일 노출로 이어질 수 있습니다.
💡 쉬운 설명
웹사이트 코드가 사용자의 입력을 충분히 검증하지 않아 파일을 읽을 때 임의의 파일을 요청할 수 있는 결함입니다. 공격자가 시스템의 비밀 정보가 담긴 파일을 읽어낼 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in AncoraThemes DetailX detailx allows PHP Local File Inclusion.This issue affects DetailX: from n/a through <= 1.10.0.
📍 영향받는 시스템
AncoraThemes DetailX 1.10.0 이하 모든 버전
⚔️ 공격 벡터
파라미터에 ../../../etc/passwd 등의 경로 트래버설 시퀀스를 삽입하여 서버 파일 시스템 접근
🛡️ 대응 방법
DetailX를 1.10.1 이상으로 긴급 업그레이드하거나 include/require 함수 입력값 화이트리스트 검증 구현
🔧 검증 코드
설치된 DetailX 버전이 1.10.0 이하이면 취약 상태이며, 1.10.1 이상이면 해당 CVE는 패치됨
grep -r "Version" wp-content/plugins/detailx/detailx.php 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'