🇰🇷 한글 설명
BrudaNews와 BrudaGB의 admin/index.php에서 'o' 파라미터를 통한 원격 파일 포함(RFI) 취약점입니다. 공격자가 원격 서버의 악성 PHP 파일을 포함시켜 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트 관리자 페이지가 사용자 입력을 검증하지 않아 해커가 자신의 코드를 실행할 수 있습니다. 이를 통해 웹사이트 전체가 장악될 수 있습니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in admin/index.php in Brudaswen (1) BrudaNews 1.1 and earlier and (2) BrudaGB 1.1 and earlier allows remote attackers to execute arbitrary PHP code via a URL in the o parameter.
📍 영향받는 시스템
BrudaNews 1.1 이하, BrudaGB 1.1 이하
⚔️ 공격 벡터
admin/index.php?o=[악성_원격_파일_URL] 형태로 요청하여 PHP 파일 포함 및 실행
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 공식 패치 적용, 또는 입력 검증 강화 및 allow_url_include 비활성화
🔧 검증 코드
응답이 반환되면 관리자 페이지가 활성화된 상태이며, 버전 정보와 o 파라미터 처리 방식 확인 필요
curl -s http://localhost/admin/index.php?o=test 2>/dev/null | head -20