🇰🇷 한글 설명
phpCOIN 1.2.2 버전에서 config.php 파일에 직접 요청을 보낼 경우 설치 경로가 노출되는 취약점이 존재합니다. 이는 _CCFG['_PKG_PATH_DBSE'] 변수가 정의되지 않아 발생하는 에러 메시지를 통해 서버의 내부 경로가 유출되기 때문입니다.
💡 쉬운 설명
웹사이트의 특정 설정 파일에 접근하면 서버 내부의 폴더 경로가 외부에 드러납니다. 공격자는 이 정보를 통해 서버 구조를 파악하여 더 심각한 공격을 시도할 수 있습니다.
🇺🇸 원문 (English)
phpCOIN 1.2.2 allows remote attackers to obtain the installation path via a direct request to config.php, which leaks the path in an error message because the _CCFG['_PKG_PATH_DBSE'] variable is not defined.
⚔️ 공격 벡터
config.php 파일에 대한 직접적인 HTTP 요청을 통한 정보 유출
🛡️ 대응 방법
config.php 파일에 대한 외부 접근을 차단하거나, 에러 메시지가 출력되지 않도록 관련 변수를 정의하고 패치를 적용하십시오.
🔧 검증 코드
결과에 '1.2.2' 버전 정보가 출력되면 해당 취약점에 노출된 버전입니다.
grep "1.2.2" config.php 2>/dev/null | grep -E '1.2.2'