🇰🇷 한글 설명
PictureDis Professional 1.33 Build 234 이전 버전과 PictureDis Photoalbum 4.82 이전 버전에서 lang 파라미터를 통한 PHP 원격 파일 포함(RFI) 취약점이 존재합니다. 공격자는 악의적인 URL을 입력하여 photoalbum/ 경로의 thumstbl.php, wpfiles.php, wallpapr.php 파일들을 공격하고 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
PictureDis 앨범 프로그램이 언어 선택 값을 제대로 검증하지 않아, 해커가 악의적인 웹 주소를 입력하면 서버에서 원격으로 악성 코드를 실행하게 됩니다. 서버의 모든 권한으로 공격자의 명령을 수행할 수 있게 됩니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in PictureDis Professional 1.33 Build 234 and earlier and PictureDis Photoalbum 4.82 and earlier allow remote attackers to execute arbitrary PHP code via a URL in the lang parameter to files in photoalbum/ including (1) thumstbl.php, (2) wpfiles.php, and (3) wallpapr.php.
📍 영향받는 시스템
PictureDis Professional ≤1.33 Build 234, PictureDis Photoalbum ≤4.82
⚔️ 공격 벡터
lang 파라미터에 원격 파일 URL 전달 - GET 요청을 통해 thumstbl.php, wpfiles.php, wallpapr.php 등 폴더의 파일 대상
🛡️ 대응 방법
최신 버전으로 즉시 업그레이드 또는 lang 파라미터 입력값의 엄격한 화이트리스트 검증 및 include/require 함수에 원격 URL 차단
🔧 검증 코드
해당 파일들이 발견되면 설치 경로 확인 후, 파일 내 버전 정보나 date 확인으로 4.82/1.33 Build 234 이전 버전 여부 판단
find / -type f \( -name 'thumstbl.php' -o -name 'wpfiles.php' -o -name 'wallpapr.php' \) 2>/dev/null