🇰🇷 한글 설명
ApusTheme Famita 테마의 PHP 파일 포함 함수 제어 결함으로 로컬 파일 포함(LFI) 취약점이 존재합니다. 공격자가 부정확한 파라미터 검증을 악용하여 서버의 의도하지 않은 파일을 include/require 함수로 로드할 수 있습니다. 이를 통해 민감한 정보 유출, 원격 코드 실행, 또는 시스템 침해로 확대될 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자 입력을 제대로 확인하지 않아 공격자가 서버의 숨겨진 파일들을 열람할 수 있는 버그입니다. 이로 인해 암호, 데이터베이스 정보 등 민감한 파일이 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ApusTheme Famita famita allows PHP Local File Inclusion.This issue affects Famita: from n/a through <= 1.54.
📍 영향받는 시스템
ApusTheme Famita v1.54 이하
⚔️ 공격 벡터
GET/POST 요청의 파라미터에 경로 조작 문자(../, ..\)를 삽입하여 include/require 함수가 임의의 파일을 로드하도록 유도
🛡️ 대응 방법
Famita를 최신 버전으로 업데이트하고 PHP의 allow_url_include를 Off로 설정, 모든 파일 포함 인자에 화이트리스트 검증 적용
🔧 검증 코드
allow_url_include가 Off이면 기본 안전상태이고 On으로 표시되면 위험한 설정이므로 비활성화 필요
php -i | grep -i allow_url_include