🇰🇷 한글 설명
x-stat 2.3 및 이전 버전의 x_stat_admin.php에서 발생하는 취약점입니다. 원격 공격자가 잘못된 action 파라미터를 전달하여 phpinfo와 같은 PHP 명령을 실행하거나, 오류 메시지를 통해 웹 서버의 전체 경로 정보를 획득할 수 있습니다.
💡 쉬운 설명
웹사이트 관리자 페이지의 입력창에 특수한 값을 넣어 서버의 비밀 경로를 알아내거나 임의의 명령을 실행할 수 있는 보안 구멍입니다. 공격자가 서버 내부 구조를 파악해 추가 공격을 시도할 수 있게 합니다.
🇺🇸 원문 (English)
x_stat_admin.php in x-stat 2.3 and earlier allows remote attackers to (1) execute PHP commands such as phpinfo or (2) obtain the full path of the web server via an invalid action parameter, which leaks the pathname in an error message.
📍 영향받는 시스템
x-stat 2.3 및 이전 버전
⚔️ 공격 벡터
x_stat_admin.php 파일의 action 파라미터에 조작된 값을 입력하여 HTTP 요청 전송
🛡️ 대응 방법
취약점이 해결된 최신 버전으로 업데이트하거나, 해당 관리자 페이지에 대한 접근 권한을 엄격히 제한하십시오.
🔧 검증 코드
명령어 실행 결과 x_stat_admin.php 파일 경로가 출력된다면 해당 취약점이 존재하는 소프트웨어가 설치되어 있을 가능성이 큽니다.
find /var/www -name "x_stat_admin.php" 2>/dev/null