🇰🇷 한글 설명
ThemeREX Edge Decor 플러그인 버전 2.2 이하에서 PHP 파일 포함문(include/require)의 파일명 제어 부족으로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자가 임의의 로컬 파일에 접근하여 민감한 정보를 탈취하거나 원격 코드 실행이 가능합니다.
💡 쉬운 설명
WordPress 테마에서 파일 접근 경로를 제대로 검증하지 않아 공격자가 서버 내 숨겨진 파일들을 볼 수 있습니다. 데이터베이스 설정 파일이나 개인정보 같은 중요 파일이 노출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThemeREX Edge Decor edge-decor allows PHP Local File Inclusion.This issue affects Edge Decor: from n/a through <= 2.2.
📍 영향받는 시스템
ThemeREX Edge Decor 플러그인 <= 버전 2.2
⚔️ 공격 벡터
URL 파라미터 조작을 통해 LFI 페이로드 전송(예: ?file=../../../etc/passwd)
🛡️ 대응 방법
Edge Decor 플러그인을 2.2 버전 이상으로 업데이트하거나 WAF 규칙으로 경로 순회 공격 필터링
🔧 검증 코드
Edge Decor 플러그인 설치 여부 확인 후 include/require 구문을 검색하여 취약한 파일 포함 코드 존재 여부 확인
find /var/www -name 'edge-decor' -type d 2>/dev/null | xargs grep -l 'include\|require' | head -5