🇰🇷 한글 설명
PhpAuction 2.5 버전에서 디렉토리 트래버설 취약점이 발견되었습니다. 공격자는 index.php 또는 admin/index.php의 'lan' 파라미터에 '..' 시퀀스를 삽입하여 서버의 임의 파일을 읽거나 로컬 PHP 파일을 포함하고, 민감한 경로 정보를 탈취할 수 있습니다.
💡 쉬운 설명
웹사이트 주소창에 특수한 경로 기호를 입력해 서버 내부의 비밀 파일을 몰래 훔쳐볼 수 있는 취약점입니다. 마치 금지된 구역의 문을 우회하여 내부 서류함을 열어보는 것과 같습니다.
🇺🇸 원문 (English)
Directory traversal vulnerability in PhpAuction 2.5 allows remote attackers to read arbitrary files, include local PHP files, or obtain sensitive path information via ".." sequences in the lan parameter to (1) index.php or (2) admin/index.php.
📍 영향받는 시스템
PhpAuction 2.5
⚔️ 공격 벡터
HTTP 요청의 'lan' 파라미터에 '../'와 같은 경로 조작 문자열을 삽입하여 전송
🛡️ 대응 방법
최신 버전으로 업데이트하거나, 입력값에서 '..' 및 경로 구분자를 제거하는 입력값 검증 로직을 적용하십시오.
🔧 검증 코드
명령어 실행 결과 PhpAuction 2.5 버전 정보가 출력되면 해당 취약점에 노출되었을 가능성이 높습니다.
grep -r "PhpAuction" /var/www/html | grep "2.5"