🇰🇷 한글 설명
dotProject 2.0.1 및 이전 버전에서 설치 후 /docs/ 디렉토리에 phpinfo.php와 check.php 파일이 남아있어 발생합니다. 이를 통해 원격 공격자가 서버의 민감한 설정 정보를 획득할 수 있습니다. 벤더사는 관리자가 설치 지침을 무시한 경우에만 발생한다고 주장합니다.
💡 쉬운 설명
설치 후 삭제했어야 할 설정 확인용 파일들이 서버에 그대로 남아있는 상태입니다. 공격자가 웹 브라우저로 이 파일들에 접속하면 서버의 내부 비밀 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
dotProject 2.0.1 and earlier leaves (1) phpinfo.php and (2) check.php accessible under the /docs/ directory after installation, which allows remote attackers to obtain sensitive configuration information. NOTE: the vendor disputes this issue, saying that it could only occur if the administrator ignores the installation instructions as well as warnings generated by check.php
📍 영향받는 시스템
dotProject 2.0.1 및 이전 버전
⚔️ 공격 벡터
웹 브라우저를 통해 /docs/phpinfo.php 또는 /docs/check.php 경로에 직접 접근하여 정보 수집
🛡️ 대응 방법
/docs/ 디렉토리 내의 phpinfo.php 및 check.php 파일을 즉시 삭제하십시오.
🔧 검증 코드
결과에 '200 OK'가 출력되면 해당 파일이 서버에 존재하며 취약한 상태임을 의미합니다.
curl -sI http://localhost/docs/phpinfo.php | grep "HTTP/1.1 200 OK"