🇰🇷 한글 설명
ThemeREX Verse WordPress 테마에서 PHP 파일 포함 함수의 부적절한 제어로 인해 로컬 파일 포함(LFI) 취약점이 발생합니다. 공격자가 임의의 로컬 파일을 포함하도록 강제하여 민감한 정보 노출이나 원격 코드 실행으로 이어질 수 있습니다.
💡 쉬운 설명
WordPress 테마 Verse에서 웹사이트 파일을 불러올 때 검증이 부족해서, 해커가 서버의 중요한 파일(설정, 암호 등)을 읽을 수 있습니다. 이를 악용하면 웹사이트 해킹으로 발전할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThemeREX Verse verse allows PHP Local File Inclusion.This issue affects Verse: from n/a through <= 1.7.0.
📍 영향받는 시스템
ThemeREX Verse WordPress 테마 버전 1.7.0 이하
⚔️ 공격 벡터
공격자가 조작된 URL 파라미터를 통해 include/require 함수로 로컬 파일을 포함시켜 파일 내용 노출
🛡️ 대응 방법
ThemeREX Verse 테마를 1.7.1 이상 버전으로 업데이트하거나 입력 검증/필터링을 적용하여 파일 경로 조작 방지
🔧 검증 코드
Verse 테마의 PHP 파일에서 include/require 사용 부분을 확인하여 입력 검증 여부를 검토합니다.
grep -r 'include\|require' /path/to/verse-theme --include='*.php' | head -20