🇰🇷 한글 설명
J-Pierre DEZELUS Les Visiteurs 2.0.1과 phpMyConferences 8.0.2의 menus.inc.php에서 lvc_include_dir 파라미터를 통해 발생하는 원격 파일 포함(RFI) 취약점입니다. 공격자가 외부 URL을 통해 임의의 PHP 코드를 실행하고 서버를 완전히 제어할 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자가 입력한 파일 경로를 검증하지 않고 그대로 실행하는 문제입니다. 공격자는 인터넷 어디선가 악의적인 코드를 가져와 서버에서 실행할 수 있습니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in common/visiteurs/include/menus.inc.php in J-Pierre DEZELUS Les Visiteurs 2.0.1, as used in phpMyConferences (phpMyConference) 8.0.2 and possibly other products, allows remote attackers to execute arbitrary PHP code via a URL in the lvc_include_dir parameter.
📍 영향받는 시스템
Les Visiteurs 2.0.1, phpMyConferences 8.0.2 및 이를 사용하는 관련 PHP 제품
⚔️ 공격 벡터
GET/POST 요청의 lvc_include_dir 파라미터에 악의적인 외부 URL 입력하여 원격 PHP 코드 실행
🛡️ 대응 방법
최신 패치 버전으로 업그레이드하거나 입력값 검증 및 include 경로 제한 구현
🔧 검증 코드
취약한 파일이 존재하면 경로가 출력되고, 없으면 결과 없음. 존재 시 해당 애플리케이션 버전 확인 필요
find / -path '*/common/visiteurs/include/menus.inc.php' 2>/dev/null | head -1