🇰🇷 한글 설명
goalthemes의 Bfres 플러그인에서 파일명 필터링 부족으로 인해 PHP Local File Inclusion 취약점이 발생합니다. 공격자는 로컬 파일을 include/require 문으로 포함시켜 임의의 파일을 실행할 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자의 입력을 확인하지 않고 파일을 읽도록 하는 오류입니다. 공격자가 /etc/passwd 같은 시스템 파일을 읽거나 악성 파일을 실행할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in goalthemes Bfres bfres allows PHP Local File Inclusion.This issue affects Bfres: from n/a through <= 1.2.1.
📍 영향받는 시스템
goalthemes Bfres 플러그인 버전 1.2.1 이하
⚔️ 공격 벡터
플러그인의 파일 포함 기능을 통해 쿼리 파라미터를 조작하여 로컬 파일 포함 유도
🛡️ 대응 방법
Bfres 플러그인을 1.2.2 이상으로 업데이트하고 파일 포함 기능에 대한 입력 검증 추가
🔧 검증 코드
명령어 실행 결과 표시되는 버전이 1.2.1 이하면 취약점이 있으며, 1.2.2 이상이면 패치됨
grep -r 'Version:' wp-content/plugins/bfres/bfres.php 2>/dev/null | grep -oP 'Version:\s*\K[\d.]+'