🇰🇷 한글 설명
PHP의 include/require 함수에서 파일명을 부적절히 제어하여 발생하는 로컬 파일 포함 취약점. ThemeREX RexCoin 1.2.6 이하 버전에 영향을 미치며, 공격자가 시스템 파일을 임의로 로드하여 민감한 설정 정보 탈취 및 원격 코드 실행이 가능합니다.
💡 쉬운 설명
웹사이트가 로드하려는 파일을 제대로 검증하지 않아 공격자가 시스템의 민감한 파일을 읽을 수 있는 문제입니다. 설정 파일의 비밀번호나 데이터베이스 정보 같은 중요 정보를 탈취당할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThemeREX RexCoin rexcoin allows PHP Local File Inclusion.This issue affects RexCoin: from n/a through <= 1.2.6.
📍 영향받는 시스템
ThemeREX RexCoin 테마/플러그인 1.2.6 이하 모든 버전
⚔️ 공격 벡터
URL 파라미터를 조작하여 include/require 함수의 파일 경로를 변조하고 임의의 로컬 또는 원격 파일 포함
🛡️ 대응 방법
RexCoin을 1.2.7 이상으로 즉시 업그레이드하거나 불가능한 경우 WAF 규칙으로 의심스러운 파일 경로 접근 차단
🔧 검증 코드
명령어 결과에서 RexCoin의 버전을 확인합니다. 버전이 1.2.6 이하면 취약하므로 즉시 업그레이드가 필요합니다.
grep -r "Version" /var/www/html/wp-content/plugins/rexcoin 2>/dev/null | head -1