🇰🇷 한글 설명
phpWebSite 0.9.x 및 이전 버전의 캘린더 모듈에서 취약점이 발견되었습니다. 공격자가 잘못된 연도 값을 입력하면 Pear 라이브러리의 TimeZone.php 내 localtime() 함수에서 오류가 발생하며, 이 과정에서 서버 내 phpWebSite의 전체 경로가 외부로 노출될 수 있습니다.
💡 쉬운 설명
캘린더 기능에 잘못된 날짜를 입력했을 때 서버의 내부 폴더 주소가 화면에 출력되는 문제입니다. 공격자는 이 경로 정보를 이용해 서버의 내부 구조를 파악하는 힌트로 사용할 수 있습니다.
🇺🇸 원문 (English)
The calendar module in phpWebSite 0.9.x and earlier allows remote attackers to obtain the full pathname of phpWebSite via an invalid year, which generates an error from localtime() in TimeZone.php of the Pear library.
📍 영향받는 시스템
phpWebSite 0.9.x 및 이전 버전
⚔️ 공격 벡터
캘린더 모듈의 입력 필드에 비정상적인 연도 값을 전송하여 에러 메시지 유도
🛡️ 대응 방법
최신 버전으로 업데이트하거나, 입력값 검증 로직을 추가하여 유효하지 않은 연도 값이 처리되지 않도록 수정하십시오.
🔧 검증 코드
명령어 실행 결과 0.9 버전이 출력되면 해당 취약점에 노출된 버전일 가능성이 높습니다.
grep -r "version" /var/www/html/phpWebSite/config.php 2>/dev/null | grep -E '0.9'