🇰🇷 한글 설명
thembay의 Besa 테마/플러그인에서 PHP include/require 문의 파일명 제어가 부적절하여 발생하는 PHP 로컬 파일 포함 취약점입니다. Besa 2.3.15 이하 버전이 영향을 받으며, 공격자가 임의의 파일을 포함시켜 정보 유출 또는 코드 실행이 가능합니다.
💡 쉬운 설명
Besa 테마에 파일을 잘못 읽을 수 있는 보안 구멍이 있습니다. 공격자가 이를 악용하여 서버의 민감한 정보를 빼가거나 악성 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in thembay Besa besa allows PHP Local File Inclusion.This issue affects Besa: from n/a through <= 2.3.15.
📍 영향받는 시스템
thembay Besa 테마 <= 2.3.15
⚔️ 공격 벡터
공격자가 쿼리 파라미터나 POST 데이터를 조작하여 include/require 함수에 임의 파일 경로를 전달
🛡️ 대응 방법
Besa를 최신 버전(2.3.16 이상)으로 즉시 업데이트
🔧 검증 코드
출력되는 버전 번호가 2.3.15 이하이면 취약함. 버전이 표시되지 않으면 Besa가 설치되지 않음을 의미
grep -i 'Version:' /var/www/html/wp-content/themes/besa/style.css 2>/dev/null | head -1