🇰🇷 한글 설명
Mikado-Themes의 Marra 테마 버전 1.2 이하에서 PHP Include/Require 문장의 파일명 제어 부족으로 인한 원격 파일 포함(RFI) 및 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 공격자가 악의적인 파일을 포함시켜 서버에서 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
WordPress 테마의 버그로 인해 공격자가 서버 내부 파일이나 외부 파일을 불러올 수 있는 취약점입니다. 이를 통해 공격자가 서버를 완전히 제어하고 데이터를 탈취할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Mikado-Themes Marra marra allows PHP Local File Inclusion.This issue affects Marra: from n/a through <= 1.2.
📍 영향받는 시스템
Mikado-Themes Marra <= 1.2
⚔️ 공격 벡터
GET/POST 파라미터를 통해 파일 경로를 조작하여 /etc/passwd, wp-config.php 등 시스템 파일 또는 외부 악성 파일을 포함시킴
🛡️ 대응 방법
Marra 테마를 1.2 이상의 최신 버전으로 즉시 업데이트하거나 테마 개발사의 보안 패치 적용
🔧 검증 코드
결과에 사용자 입력값이 직접 include/require 문에 사용되는 경우가 있으면 취약점 존재; 결과가 없으면 이미 패치됨
grep -r 'include\|require' /path/to/marra/theme --include='*.php' | grep -E '\$_(GET|POST|REQUEST)' | head -5