🇰🇷 한글 설명
Web-News 1.6.3 이하 버전의 webnews/template.php에 원격 파일 포함(RFI) 취약점이 존재합니다. content_page 매개변수를 통해 공격자가 원격지의 PHP 파일을 포함시켜 임의 코드를 실행할 수 있습니다. 웹서버 접근 권한으로 시스템 전체가 손상될 수 있습니다.
💡 쉬운 설명
Web-News 프로그램에서 외부 파일을 불러올 때 입력값을 검증하지 않아 공격자가 악의적인 웹 주소를 입력할 수 있습니다. 이를 통해 공격자의 악성 코드가 웹서버에서 실행됩니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in webnews/template.php in Web-News 1.6.3 and earlier allows remote attackers to execute arbitrary PHP code via a URL in the content_page parameter.
📍 영향받는 시스템
Web-News 1.6.3 이하 버전
⚔️ 공격 벡터
content_page 매개변수에 원격 PHP 파일 URL 입력으로 임의 코드 실행
🛡️ 대응 방법
Web-News를 최신 버전으로 업그레이드하거나 content_page 매개변수에서 로컬 파일만 허용하도록 입력 검증 추가
🔧 검증 코드
webnews/template.php 파일 존재 시 설치 확인되며, 파일 미존재 시 해당 취약 버전 미설치 상태
find /var/www -name template.php -path '*webnews*' 2>/dev/null | head -1