🇰🇷 한글 설명
axiomthemes의 Conquerors 플러그인/테마의 버전 1.2.13 이하에서 PHP 파일 포함 문장(include/require)의 파일 이름 제어가 부적절하여 로컬 파일 포함(LFI) 취약성이 발생합니다. 공격자가 이를 악용하면 서버의 민감한 파일(설정, 데이터베이스 자격증명 등)에 접근할 수 있습니다.
💡 쉬운 설명
웹사이트의 Conquerors 플러그인에 버그가 있어서 공격자가 서버 내부의 파일들을 읽을 수 있습니다. 패스워드나 설정 파일 같은 중요한 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in axiomthemes Conquerors conquerors allows PHP Local File Inclusion.This issue affects Conquerors: from n/a through <= 1.2.13.
📍 영향받는 시스템
axiomthemes Conquerors 플러그인/테마 버전 1.2.13 이하
⚔️ 공격 벡터
악의적인 URL 파라미터를 조작하여 include/require 함수가 원격이나 로컬의 임의 파일을 로드하도록 유도
🛡️ 대응 방법
Conquerors를 1.2.14 이상 버전으로 즉시 업데이트
🔧 검증 코드
명령어 실행 후 1.2.13 이하 버전이 나타나면 취약한 상태이며, 1.2.14 이상이거나 플러그인이 없으면 안전합니다.
grep -r 'Version:' wp-content/plugins/conquerors/ 2>/dev/null | grep -oP 'Version:\s*\K[\d.]+' || echo 'Plugin not found'