🇰🇷 한글 설명
fuelthemes의 'The Issue' 플러그인에서 PHP include/require 문에 대한 부적절한 필터링으로 인해 로컬 파일 포함(LFI) 공격이 가능합니다. 공격자는 ../ 경로 표기법을 이용해 서버의 민감한 파일(설정, 데이터베이스, 시스템 파일 등)에 접근할 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자 입력을 검증하지 않고 파일을 열기 때문에, 공격자가 서버의 숨겨진 파일을 볼 수 있습니다. 이는 로그인 정보나 민감한 데이터 유출로 이어질 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in fuelthemes The Issue theissue allows PHP Local File Inclusion.This issue affects The Issue: from n/a through <= 1.6.11.
📍 영향받는 시스템
fuelthemes 'The Issue' 플러그인/테마 버전 1.6.11 이하
⚔️ 공격 벡터
사용자 입력으로 파일 경로를 조작하는 HTTP 요청(예: ?page=../../../../etc/passwd)
🛡️ 대응 방법
플러그인을 1.6.12 이상으로 업그레이드하고, 입력값 검증 및 경로 정규화 필터 적용
🔧 검증 코드
설치된 'The Issue' 플러그인의 버전 정보를 확인하여 1.6.12 이상인지 확인
find . -name 'the-issue' -o -name 'theissue' 2>/dev/null | xargs grep -l 'version\|Version' | head -1 | xargs cat | grep -i 'version'