🇰🇷 한글 설명
PHP-Fusion 4.00의 updateuser.php 및 forums_prune.php 스크립트에서 취약점이 발견되었습니다. 원격 공격자가 직접적인 HTTP 요청을 보내면 에러 메시지를 통해 서버의 설치 경로와 같은 민감한 정보가 노출될 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 페이지에 잘못된 요청을 보내면 서버의 내부 폴더 경로가 드러나는 문제입니다. 공격자는 이 정보를 이용해 서버의 구조를 파악하고 추가 공격을 계획할 수 있습니다.
🇺🇸 원문 (English)
The (1) updateuser.php and (2) forums_prune.php scripts in PHP-Fusion 4.00 allow remote attackers to obtain sensitive information via a direct HTTP request, which reveals the installation path in an error message.
📍 영향받는 시스템
PHP-Fusion 4.00
⚔️ 공격 벡터
직접적인 HTTP 요청을 통한 정보 노출 (Information Disclosure)
🛡️ 대응 방법
PHP-Fusion을 최신 버전으로 업데이트하거나 PHP 설정에서 display_errors 옵션을 비활성화하십시오.
🔧 검증 코드
명령어 실행 결과에서 PHP-Fusion 버전이 4.00으로 확인되면 취약한 버전입니다.
grep -r "4.00" /var/www/html/php-fusion/ 2>/dev/null | grep -i "version"