🇰🇷 한글 설명
goalthemes Hyori 플러그인의 부적절한 파일 포함 제어로 인한 PHP Local File Inclusion(LFI) 취약점으로, 공격자가 서버의 임의 파일을 불러올 수 있다. include/require 함수에 사용자 입력이 제대로 검증되지 않아 악의적 파일 실행이나 민감정보 열람이 가능하다.
💡 쉬운 설명
Hyori 플러그인이 사용자가 보내는 파일 이름을 확인하지 않고 그대로 읽으려고 해서 공격자가 원하는 파일을 강제로 불러올 수 있는 문제입니다. 비밀번호나 설정 파일 같은 민감한 정보를 읽거나 악성 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in goalthemes Hyori hyori allows PHP Local File Inclusion.This issue affects Hyori: from n/a through <= 1.3.6.
📍 영향받는 시스템
goalthemes Hyori 플러그인 버전 1.3.6 이하
⚔️ 공격 벡터
URL 파라미터나 POST 요청을 통해 include/require 함수에 임의의 파일 경로를 주입
🛡️ 대응 방법
Hyori 플러그인을 1.3.7 이상으로 업데이트하거나 공식 보안 패치 적용
🔧 검증 코드
명령어에서 입력 변수를 직접 사용하는 include/require가 나오면 취약점이 있는 것이므로 플러그인 버전 확인 후 1.3.6 이하면 즉시 업데이트 필요
grep -r '\(include\|require\).*\$_[GR]' /var/www/html/wp-content/plugins/hyori/ 2>/dev/null || echo 'Check plugin version'