🇰🇷 한글 설명
axiomthemes PJ 플러그인의 include/require 문에서 파일명을 부적절하게 검증하여 PHP 로컬 파일 포함(LFI) 공격이 가능한 취약점입니다. 공격자가 임의의 로컬 파일에 접근하거나 원격 파일을 포함시켜 서버를 제어할 수 있습니다.
💡 쉬운 설명
웹사이트 플러그인이 사용자가 원하는 파일을 로드하도록 허용하여, 악의적인 사용자가 서버의 비밀 파일을 읽거나 악성 코드를 실행할 수 있습니다. 마치 누군가 잠금장치 없는 파일 캐비닛에서 원하는 문서를 꺼내가는 것과 같습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in axiomthemes PJ | Life & Business Coaching pj allows PHP Local File Inclusion.This issue affects PJ | Life & Business Coaching: from n/a through <= 3.0.0.
📍 영향받는 시스템
axiomthemes PJ | Life & Business Coaching 플러그인 버전 3.0.0 이하
⚔️ 공격 벡터
GET/POST 파라미터를 통해 include/require 대상 파일명 조작 (예: ?file=../../etc/passwd)
🛡️ 대응 방법
PJ 플러그인을 3.0.1 이상으로 업데이트하거나 파일 경로 화이트리스트 검증 구현
🔧 검증 코드
검색 결과에서 사용자 입력을 직접 include/require에 사용하는 코드가 나타나면 취약점 존재 가능성이 높습니다
grep -r "include\|require" /var/www/html/wp-content/plugins/pj* | grep -E "\$_(GET|POST|REQUEST)" | head -5