🇰🇷 한글 설명
phpAdsNew 및 phpPgAds 2.0.6 및 이전 버전에서 원격 공격자가 특정 PHP 파일들에 직접 요청을 보내 애플리케이션 설치 경로 및 기타 민감한 정보를 획득할 수 있는 취약점입니다. 특히 PHP 설정의 display_errors가 활성화되어 있을 때 정보 유출 위험이 더 커집니다.
💡 쉬운 설명
웹사이트의 특정 주소에 접속하는 것만으로 서버의 내부 폴더 경로 같은 비밀 정보가 화면에 출력되는 문제입니다. 공격자는 이 정보를 이용해 서버의 구조를 파악하고 더 큰 공격을 시도할 수 있습니다.
🇺🇸 원문 (English)
phpAdsNew and phpPgAds 2.0.6 and possibly earlier versions allows remote attackers to obtain the application installation path and other sensitive information via direct requests to (1) create.php, and if display_errors is enabled, (2) lib-updates.inc.php, (3) lib-targetstats.inc.php, (4) lib-size.inc.php, (5) lib-misc-stats.inc.php, (6) lib-hourly-hosts.inc.php, (7) lib-hourly.inc.php, (8) lib-history.inc.php, and (9) graph-daily.php.
📍 영향받는 시스템
phpAdsNew 및 phpPgAds 2.0.6 및 이전 버전
⚔️ 공격 벡터
취약한 PHP 파일(create.php, lib-updates.inc.php 등)에 대한 직접적인 HTTP 요청 전송
🛡️ 대응 방법
최신 버전으로 업데이트하거나, PHP 설정에서 display_errors를 Off로 변경하고 해당 파일들에 대한 직접 접근을 차단하십시오.
🔧 검증 코드
명령어 실행 결과 phpAdsNew 또는 phpPgAds의 버전이 2.0.6 이하로 표시되면 취약한 상태입니다.
grep -r "version" /var/www/html/phpads/ | grep -E '2\.0\.[0-6]'