🇰🇷 한글 설명
Saxon WordPress 테마의 include/require 문에서 파일명을 부적절하게 제어하여 PHP Local File Inclusion (LFI) 취약점이 발생합니다. 공격자가 테마의 특정 파라미터를 조작하여 서버 내 임의의 파일을 포함시킬 수 있습니다.
💡 쉬운 설명
WordPress Saxon 테마에서 파일을 불러오는 기능이 제대로 검증하지 않아서, 해커가 원하는 파일을 강제로 읽힐 수 있습니다. 이를 통해 웹사이트 설정 파일이나 민감한 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in dedalx Saxon - Viral Content Blog & Magazine Marketing WordPress Theme saxon allows PHP Local File Inclusion.This issue affects Saxon - Viral Content Blog & Magazine Marketing WordPress Theme: from n/a through <= 1.9.3.
📍 영향받는 시스템
Saxon - Viral Content Blog & Magazine Marketing WordPress Theme <= 1.9.3
⚔️ 공격 벡터
테마의 파일 포함 파라미터를 조작하여 ../../etc/passwd 같은 경로로 서버 파일에 접근 (LFI)
🛡️ 대응 방법
Saxon 테마를 1.9.4 이상으로 업그레이드하거나, 테마를 사용 중단하고 안전한 대체 테마 설치
🔧 검증 코드
설치된 Saxon 테마 위치를 확인하고, version 정보를 theme's style.css 파일에서 확인하여 버전이 1.9.3 이하인지 확인
find /var/www/html -name 'saxon' -o -path '*/wp-content/themes/*saxon*' 2>/dev/null | head -5