🇰🇷 한글 설명
CuteNews 1.3.x의 show_news.php와 search.php에서 cutepath 매개변수를 통한 원격 PHP 파일 포함 취약점. 공격자가 악의적인 URL을 입력하여 임의의 PHP 코드를 원격으로 실행할 수 있습니다.
💡 쉬운 설명
CuteNews라는 뉴스 관리 프로그램에서 사용자 입력값을 제대로 검증하지 않아 해커가 외부 악성 파일을 불러와 실행할 수 있는 취약점입니다. 이를 통해 웹사이트를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in CuteNews 1.3.x allow remote attackers to execute arbitrary PHP code via a URL in the cutepath parameter to (1) show_news.php or (2) search.php. NOTE: CVE analysis as of 20060829 has not identified any scenarios in which these vectors could result in remote file inclusion
📍 영향받는 시스템
CuteNews 1.3.x 모든 버전
⚔️ 공격 벡터
cutepath 파라미터에 악의적 URL 주입 (show_news.php, search.php)
🛡️ 대응 방법
CuteNews를 1.4.0 이상으로 업그레이드하거나 cutepath 매개변수의 입력값 검증/필터링 구현
🔧 검증 코드
CuteNews 설치 경로를 확인하고 해당 버전을 조회한 후 1.3.x 범위에 있으면 업그레이드 필요
find /var/www -name 'show_news.php' -o -name 'search.php' 2>/dev/null | head -5