🇰🇷 한글 설명
Thembay Nika WordPress 테마 1.2.14 버전 이하에서 파일 포함 함수의 입력값 검증 부족으로 인한 PHP 원격 파일 포함(RFI) 취약점입니다. 공격자가 악의적인 원격 PHP 파일을 포함시켜 웹서버 권한으로 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
WordPress Nika 테마가 외부 파일을 제대로 검증하지 않아 해커가 악성 파일을 실행하게 하는 취약점입니다. 웹사이트 전체가 장악될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in thembay Nika nika allows PHP Local File Inclusion.This issue affects Nika: from n/a through <= 1.2.14.
📍 영향받는 시스템
Thembay Nika 테마 버전 <= 1.2.14
⚔️ 공격 벡터
PHP include/require 함수에 사용자 입력값을 검증 없이 전달하여 원격 파일 포함 및 코드 실행 유도
🛡️ 대응 방법
Nika 테마를 1.2.15 이상으로 업데이트하거나 파일 포함 함수에 whitelist 및 경로 검증 추가
🔧 검증 코드
결과가 0이 아니면 검증 없는 include/require 함수 존재 - 취약점 가능성 높음
grep -rE 'include|require' /wp-content/themes/nika/ --include='*.php' | grep -v 'basename\|realpath\|str_replace.*\.\.' | wc -l