🇰🇷 한글 설명
Houzez Theme - Functionality에서 파일 포함 기능에 대한 부적절한 검증으로 인한 PHP 원격 파일 포함(RFI) 취약점입니다. 공격자가 조작된 요청을 통해 원격 서버의 악의적인 PHP 파일을 실행할 수 있어 원격 코드 실행(RCE)으로 이어질 수 있습니다.
💡 쉬운 설명
WordPress 테마의 버그로 인해 공격자가 인터넷 어디서든 PHP 파일을 로드하고 실행할 수 있습니다. 이를 통해 웹사이트를 완전히 제어할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in favethemes Houzez Theme - Functionality houzez-theme-functionality.This issue affects Houzez Theme - Functionality: from n/a through <= 4.1.8.
📍 영향받는 시스템
Houzez Theme - Functionality 버전 4.1.8 이하
⚔️ 공격 벡터
GET/POST 파라미터를 조작하여 원격 PHP 파일 URL을 포함 경로로 전달하면 악의적 코드 실행 가능
🛡️ 대응 방법
4.1.9 이상으로 업데이트하거나 파일 포함 함수에 대한 입력 검증 및 화이트리스팅 적용
🔧 검증 코드
출력된 버전 번호가 4.1.8 이하면 취약점 있음, 4.1.9 이상이면 패치됨
find wp-content/plugins wp-content/themes -name 'houzez*' -type d 2>/dev/null | xargs grep -l 'Version:' | xargs grep 'Version:' | head -1