🇰🇷 한글 설명
ThemeREX Dermatology Clinic 플러그인의 PHP 파일 포함 문장에서 사용자 입력을 부적절히 검증하여 원격/로컬 파일 포함이 가능합니다. 공격자가 악의적인 PHP 파일을 포함시켜 서버에서 임의 코드 실행을 할 수 있습니다.
💡 쉬운 설명
Dermatology Clinic 플러그인이 어떤 파일을 불러올지 제대로 확인하지 않아서, 해커가 악의적인 파일을 로드하게 할 수 있습니다. 이로 인해 웹사이트가 완전히 장악되거나 민감한 데이터가 유출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThemeREX Dermatology Clinic dermatology-clinic allows PHP Local File Inclusion.This issue affects Dermatology Clinic: from n/a through <= 1.4.3.
📍 영향받는 시스템
ThemeREX Dermatology Clinic plugin <= version 1.4.3
⚔️ 공격 벡터
Unsanitized filename parameter in PHP include/require statements exploited via crafted HTTP requests
🛡️ 대응 방법
Update plugin to version > 1.4.3, implement input validation whitelist, and disable remote file inclusion in PHP configuration
🔧 검증 코드
파일이 검색되면 취약한 버전 설치된 상태; 파일이 없거나 상위 버전이면 안전
find /var/www -type f -name 'dermatology-clinic.php' -o -path '*/dermatology-clinic/dermatology-clinic.php' 2>/dev/null | xargs grep -l 'Version.*1\.[0-4]\.[0-3]' 2>/dev/null