🇰🇷 한글 설명
goalthemes의 Dekoro 플러그인/테마에서 PHP 파일 포함 문제로 인해 로컬 파일을 읽을 수 있는 취약점입니다. 공격자가 서버의 민감한 파일(설정, 데이터베이스 자격증명 등)에 접근할 수 있습니다. 버전 1.0.7 이하에서 발생합니다.
💡 쉬운 설명
공격자가 웹사이트를 통해 서버의 숨겨진 파일들을 읽을 수 있는 보안 문제입니다. 공격자가 로그인하지 않아도 데이터베이스 비밀번호같은 중요한 정보를 빼낼 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in goalthemes Dekoro dekoro allows PHP Local File Inclusion.This issue affects Dekoro: from n/a through <= 1.0.7.
📍 영향받는 시스템
goalthemes Dekoro <= 1.0.7 (WordPress 테마/플러그인)
⚔️ 공격 벡터
부적절하게 검증되지 않은 파일 경로 매개변수를 통한 로컬 파일 포함 공격 (쿼리 문자열 또는 POST 데이터 조작)
🛡️ 대응 방법
Dekoro를 1.0.8 이상의 최신 버전으로 즉시 업데이트하거나 플러그인/테마를 비활성화합니다.
🔧 검증 코드
첫 번째 명령어는 Dekoro가 설치되었는지 확인하고, 두 번째 명령어는 설치된 버전 번호를 표시합니다. 1.0.7 이하면 긴급 업데이트 필요입니다.
grep -r 'dekoro' /var/www/html/wp-content/ 2>/dev/null | head -1 && cat /var/www/html/wp-content/themes/dekoro/style.css 2>/dev/null | grep -i 'Version'