🇰🇷 한글 설명
ThemeREX Tuning 플러그인의 PHP 파일 인클루드/요구 문장에서 파일명 검증이 부적절하여 로컬 파일 포함(LFI) 취약점 발생. 버전 1.3 이하 영향. 공격자가 웹 루트 내 민감한 파일(/etc/passwd, wp-config.php 등)에 접근 가능.
💡 쉬운 설명
WordPress 플러그인의 보안 결함으로 인해 공격자가 서버에 숨겨진 파일을 접근할 수 있습니다. 데이터베이스 비밀번호나 설정 파일 같은 중요 정보가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThemeREX Tuning tuning allows PHP Local File Inclusion.This issue affects Tuning: from n/a through <= 1.3.
📍 영향받는 시스템
ThemeREX Tuning plugin version <= 1.3
⚔️ 공격 벡터
특수 제작된 URL 파라미터를 통한 PHP LFI 공격으로 서버 로컬 파일 직접 접근
🛡️ 대응 방법
ThemeREX Tuning을 최신 버전(1.4 이상)으로 즉시 업데이트
🔧 검증 코드
플러그인 헤더에서 버전 정보를 확인하여 1.3 이하 여부 판단. 플러그인 미설치 시 아무 결과 미출력
grep -i "version" wp-content/plugins/tuning/plugin.php 2>/dev/null | head -1