🇰🇷 한글 설명
Visual Events Calendar 1.1의 calendar.php 파일에서 cfg_dir 매개변수를 통한 PHP 원격 파일 포함 취약점으로, 공격자가 임의의 PHP 코드를 실행할 수 있습니다. 이는 웹 서버의 권한으로 악의적인 코드를 실행하는 심각한 보안 위협입니다.
💡 쉬운 설명
웹사이트의 달력 프로그램에서 외부 파일을 로드할 때 검증하지 않아서, 해커가 악의적인 코드를 실행할 수 있는 구멍이 있습니다. 해커는 특수한 URL을 통해 서버에서 자신이 원하는 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in calendar.php in Visual Events Calendar 1.1 allows remote attackers to execute arbitrary PHP code via a URL in the cfg_dir parameter.
📍 영향받는 시스템
Visual Events Calendar 1.1 및 이전 버전
⚔️ 공격 벡터
cfg_dir 파라미터에 원격 파일 URL을 삽입하여 calendar.php 호출 시 악의적인 PHP 파일 포함 및 실행
🛡️ 대응 방법
최신 버전으로 업그레이드 또는 입력 값 검증 및 allow_url_include 비활성화 설정
🔧 검증 코드
VULNERABLE 출력 시 PHP 설정에서 원격 URL 포함이 활성화되어 있으므로, allow_url_include = Off로 설정하여 비활성화해야 합니다.
php -r "echo (ini_get('allow_url_include') ? 'VULNERABLE' : 'SAFE') . PHP_EOL;"