🇰🇷 한글 설명
WordPress의 kallyas 테마 4.21.0 이하 버전에서 'TH_LatestPosts4' 위젯을 통한 Local File Inclusion 취약점이 존재합니다. Contributor 이상의 권한을 가진 인증된 공격자가 임의의 PHP 파일을 포함하고 실행하여 서버의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
WordPress에서 Contributor 이상의 권한이 있는 사용자가 특정 위젯을 통해 악의적인 PHP 파일을 실행할 수 있는 버그입니다. 이를 통해 공격자가 서버에 저장된 민감한 데이터에 접근하거나 새로운 관리자 계정을 만들 수 있습니다.
🇺🇸 원문 (English)
The kallyas theme for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 4.21.0 via the 'TH_LatestPosts4` widget. This makes it possible for authenticated attackers, with Contributor-level access and above, to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included.
📍 영향받는 시스템
WordPress kallyas theme version ≤ 4.21.0
⚔️ 공격 벡터
Authenticated attacker with Contributor role or above exploits TH_LatestPosts4 widget via LFI to include and execute arbitrary PHP files
🛡️ 대응 방법
Update kallyas theme to version 4.21.1 or later; restrict file upload types; disable unnecessary plugins and widgets
🔧 검증 코드
Version 행에서 테마 버전 확인. 4.21.0 이하면 취약함. grep이 결과를 반환하지 않으면 테마가 설치되지 않았거나 경로가 다름
grep -i 'version' /var/www/html/wp-content/themes/kallyas/style.css 2>/dev/null | head -1