🇰🇷 한글 설명
PHPFinance 0.3의 inc.login.php 스크립트에서 원격 공격자가 로그인 인증을 우회하여 관리자 권한을 획득할 수 있는 취약점입니다. 입력 검증 부재로 인해 인증 메커니즘이 작동하지 않습니다.
💡 쉬운 설명
PHPFinance 웹 애플리케이션의 로그인 화면을 아무런 암호 없이 통과할 수 있는 결함입니다. 누구나 관리자 권한으로 접근해 시스템을 조작할 수 있게 됩니다.
🇺🇸 원문 (English)
The inc.login.php scripts in PHPFinance 0.3 allows remote attackers to bypass the login and gain privileges.
📍 영향받는 시스템
PHPFinance 0.3 이하 버전
⚔️ 공격 벡터
inc.login.php 파일에 대한 직접 HTTP 요청 조작으로 인증 우회 (원격)
🛡️ 대응 방법
PHPFinance를 0.3 이후 패치된 버전으로 업그레이드하거나 로그인 스크립트의 입력 검증 및 세션 처리 로직 수정
🔧 검증 코드
로그인 함수나 세션 검증 로직이 나타나지 않거나 스크립트가 인증 없이 접근 가능하면 취약한 상태입니다.
curl -s http://target/inc.login.php 2>/dev/null | grep -i 'function\|session\|auth' || echo 'Script accessible without auth'