🇰🇷 한글 설명
Houzez의 PHP include/require 문장에서 파일명을 부적절하게 검증하여 발생하는 원격 파일 포함(RFI) 취약점입니다. 공격자는 악의적인 원격 파일을 포함시켜 서버에서 임의의 코드를 실행할 수 있으며, 버전 4.2.0 미만의 모든 설치본이 영향을 받습니다.
💡 쉬운 설명
Houzez 웹사이트 건설 도구의 버그로 공격자가 인터넷의 악성 파일을 웹사이트에 로드할 수 있습니다. 이를 통해 공격자는 웹사이트를 완전히 장악하고 사용자 데이터를 탈취하거나 악성 콘텐츠를 배포할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in favethemes Houzez houzez.This issue affects Houzez: from n/a through < 4.2.0.
📍 영향받는 시스템
Houzez (favethemes) version < 4.2.0
⚔️ 공격 벡터
사용자 입력이 포함된 URL 파라미터를 검증 없이 PHP include/require 함수로 전달하여 원격 파일 포함 공격 수행
🛡️ 대응 방법
Houzez를 4.2.0 이상으로 즉시 업그레이드하고 패치된 버전으로 업데이트
🔧 검증 코드
명령어 실행 후 표시되는 버전 번호가 4.2.0 이상이면 안전, 4.2.0 미만이면 즉시 업그레이드 필요
find / -path '*plugins/houzez*' -name '*.php' -type f 2>/dev/null | xargs grep -h "Version:" | head -1