🇰🇷 한글 설명
phpCOIN 1.2.2의 coin_includes/db.php 파일에서 $_CCFG[_PKG_PATH_DBSE] 변수를 통한 원격 파일 포함(RFI) 취약점으로, 원격 공격자가 악의적인 URL을 이용해 임의의 PHP 코드를 서버에서 실행할 수 있습니다. 이 취약점은 입력 검증 부재로 인해 외부 파일을 로드하고 실행할 수 있게 합니다.
💡 쉬운 설명
웹사이트가 인터넷의 어디서나 파일을 받아서 실행할 수 있는 버그입니다. 공격자가 악의적인 코드를 포함한 URL을 보내면 서버가 그걸 그대로 실행하게 됩니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in coin_includes/db.php in phpCOIN 1.2.2 allows remote attackers to execute arbitrary PHP code via a URL in the $_CCFG[_PKG_PATH_DBSE] variable.
📍 영향받는 시스템
phpCOIN 1.2.2 및 그 이전 버전
⚔️ 공격 벡터
HTTP GET/POST 요청을 통해 $_CCFG[_PKG_PATH_DBSE] 매개변수에 원격 PHP 파일 URL 주입
🛡️ 대응 방법
phpCOIN을 최신 버전으로 업그레이드하거나 입력 검증 패치 적용, 또는 서버에서 allow_url_include 및 allow_url_fopen을 비활성화
🔧 검증 코드
phpCOIN 설치 디렉토리의 db.php 파일이 존재하면 해당 버전 확인 필요, 파일이 없으면 취약점 미노출
find / -name 'db.php' -path '*/coin_includes/*' 2>/dev/null | head -5