🇰🇷 한글 설명
Elated-Themes의 Amoli 테마에서 PHP 포함/요구 문(Include/Require Statement) 제어 부족으로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자가 의도하지 않은 파일을 포함시켜 민감한 정보를 노출할 수 있습니다.
💡 쉬운 설명
Amoli 테마가 사용자 입력을 제대로 검증하지 않아 공격자가 서버의 다른 파일을 읽을 수 있는 보안 결함입니다. 이를 통해 설정 파일, 데이터베이스 정보 등 민감한 파일에 접근할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Elated-Themes Amoli amoli allows PHP Local File Inclusion.This issue affects Amoli: from n/a through <= 1.0.
📍 영향받는 시스템
Elated-Themes Amoli 테마 버전 1.0 이하
⚔️ 공격 벡터
악의적 URL 파라미터를 통해 include/require 함수가 로컬 파일을 로드하도록 조작
🛡️ 대응 방법
Amoli 테마를 1.0 이상의 최신 버전으로 업데이트하거나 입력 검증 강화 패치 적용
🔧 검증 코드
사용자 입력을 직접 include/require에 사용하는 코드가 검출되면 취약점이 존재하는 것으로 확인됩니다.
grep -r 'include\|require' /path/to/amoli --include='*.php' | grep -E '\$_(GET|POST|REQUEST)'