🇰🇷 한글 설명
Biolife 워드프레스 테마의 PHP include/require 문에서 파일명 검증이 부족하여 로컬 파일 포함(LFI) 취약점이 발생합니다. 공격자는 이를 이용해 시스템의 민감한 파일(설정파일, 로그 등)을 읽거나 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
워드프레스의 Biolife 테마가 어떤 파일을 포함할지 제대로 검증하지 않아서, 해커가 원하는 파일을 열어볼 수 있는 문제입니다. 이를 통해 비밀번호나 중요한 설정정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in kutethemes Biolife biolife allows PHP Local File Inclusion.This issue affects Biolife: from n/a through <= 3.2.3.
📍 영향받는 시스템
Kutethemes Biolife 3.2.3 이하 모든 버전
⚔️ 공격 벡터
파라미터 조작을 통해 include/require 함수에 의도하지 않은 파일 경로 주입 (예: URL 파라미터에 ../../etc/passwd 등)
🛡️ 대응 방법
Biolife 테마를 최신 버전으로 업그레이드하거나, 파일 포함 전 입력값을 화이트리스트로 검증하는 패치 적용
🔧 검증 코드
위 명령어에서 입력값을 직접 include/require하는 코드가 나오면 취약점 존재, 입력값 검증 로직이 있으면 패치됨
grep -r 'include\|require' /path/to/biolife/theme --include='*.php' | grep -i '$_GET\|$_POST\|$_REQUEST' | head -5