🇰🇷 한글 설명
NES Game 및 NES System c108122 이전 버전에서 PHP 원격 파일 포함(RFI) 취약점이 발견되었습니다. 공격자가 phphtmllib 파라미터를 통해 악의적인 PHP 코드를 실행할 수 있으며, 여러 PHP 스크립트 파일(includes.php, form_utils.php, FooterNav.php 등)이 영향을 받습니다.
💡 쉬운 설명
이 보안 결함은 웹 애플리케이션이 사용자 입력을 검증하지 않고 외부 파일을 로드하도록 허용하여, 해커가 악성 코드를 실행할 수 있게 합니다. NES Game 애플리케이션의 여러 부분에서 동시에 이 문제가 발생합니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in NES Game and NES System c108122 and earlier allow remote attackers to execute arbitrary PHP code via a URL in the (1) phphtmllib parameter to (a) phphtmllib/includes.php; tag_utils/ scripts including (b) divtag_utils.php, (c) form_utils.php, (d) html_utils.php, and (e) localinc.php; and widgets/ scripts including (f) FooterNav.php, (g) HTMLPageClass.php, (h) InfoTable.php, (i) localinc.php, (j) NavTable.php, and (k) TextNav.php.
📍 영향받는 시스템
NES Game and NES System version c108122 and earlier
⚔️ 공격 벡터
Remote file inclusion (RFI) via phphtmllib parameter in PHP files (phphtmllib/includes.php, tag_utils/*.php, widgets/*.php)
🛡️ 대응 방법
NES Game/System을 c108123 이상 버전으로 업그레이드; 모든 파일 포함 함수에 대한 입력 검증 및 화이트리스트 필터링 구현
🔧 검증 코드
NES 관련 PHP 파일이 발견되면 해당 경로의 버전을 확인하고, 파일 포함 함수들(include, require)에 사용자 입력 검증이 있는지 코드 점검 필요
find / -path '*nes*' -name 'includes.php' -o -path '*phphtmllib*' 2>/dev/null | head -5