🇰🇷 한글 설명
ThemeREX Printy 테마의 include/require 함수에 대한 부적절한 입력 검증으로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자가 경로 트래버설을 이용하여 서버의 임의의 파일을 읽고 민감한 정보를 획득할 수 있습니다.
💡 쉬운 설명
Printy 테마가 파일을 불러올 때 사용자의 입력을 제대로 검증하지 않습니다. 이를 악용하면 데이터베이스 설정파일, 환경설정, 기타 민감한 서버 파일들을 읽을 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThemeREX Printy printy allows PHP Local File Inclusion.This issue affects Printy: from n/a through <= 1.8.
📍 영향받는 시스템
ThemeREX Printy WordPress Theme <= version 1.8
⚔️ 공격 벡터
GET/POST 파라미터에 ../../ 같은 경로 트래버설 문자열을 삽입하여 서버 임의 파일 접근
🛡️ 대응 방법
Printy 테마를 1.8 초과 버전으로 업데이트하거나, 파일 포함 입력값을 엄격히 검증하고 화이트리스트 제한 적용
🔧 검증 코드
명령어 결과가 0이면 안전, 1개 이상이면 위험한 include/require 패턴 존재 - 각 결과를 수동으로 검토하여 입력 검증 확인
grep -r 'include\|require' /var/www/html/wp-content/themes/printy --include='*.php' | grep -E '\$_(GET|POST|REQUEST)' | wc -l