🇰🇷 한글 설명
ThemeREX Alliance 플러그인 버전 3.1.1 이하에서 발견된 PHP Local File Inclusion(LFI) 취약점입니다. 부적절한 파일명 제어로 인해 공격자가 include/require 문을 통해 서버의 임의 파일을 포함시킬 수 있으며, 원격 코드 실행이나 민감한 정보 유출로 이어질 수 있습니다.
💡 쉬운 설명
ThemeREX Alliance 플러그인에서 파일 접근을 제대로 검증하지 않는 문제입니다. 해커가 이를 악용하면 웹서버의 중요한 파일을 읽거나 악성 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThemeREX Alliance alliance allows PHP Local File Inclusion.This issue affects Alliance: from n/a through <= 3.1.1.
📍 영향받는 시스템
ThemeREX Alliance 플러그인 v3.1.1 이하 (WordPress, Joomla 등에 설치된 경우)
⚔️ 공격 벡터
조작된 파일 경로 파라미터를 통해 include/require 함수에 전달하여 임의 파일 포함 시도
🛡️ 대응 방법
ThemeREX Alliance 플러그인을 v3.1.2 이상으로 즉시 업데이트하거나 플러그인 비활성화
🔧 검증 코드
플러그인의 readme.txt 또는 main.php에서 Version 필드를 확인하여 3.1.1 이하인지 판별합니다. 버전이 3.1.2 이상이면 안전합니다.
grep -i 'version\|define.*VERSION' /path/to/wordpress/wp-content/plugins/alliance/readme.txt 2>/dev/null | head -1