🇰🇷 한글 설명
WikkaWiki 1.1.6.2 이전 버전의 Method 메서드에서 strstr과 strrpos 함수의 인자 순서를 잘못 호출하여 발생하는 취약점입니다. 이를 통해 원격 공격자가 의도된 접근 제한을 우회하고 임의의 PHP 파일에 접근할 수 있습니다.
💡 쉬운 설명
WikkaWiki 웹사이트 소프트웨어의 파일 접근 권한 검사가 제대로 작동하지 않아, 해커가 접근하면 안 되는 PHP 파일들을 읽을 수 있습니다.
🇺🇸 원문 (English)
The Method method in WikkaWiki (Wikka Wiki) before 1.1.6.2 calls the strstr and strrpos functions with the wrong argument order, which allows remote attackers to bypass intended access restrictions and access arbitrary PHP files.
📍 영향받는 시스템
WikkaWiki (Wikka Wiki) 버전 1.1.6.2 이전
⚔️ 공격 벡터
원격 공격자가 잘못된 함수 인자를 이용하여 접근 제한 검사를 우회하고 임의의 PHP 파일 접근
🛡️ 대응 방법
WikkaWiki를 1.1.6.2 이상으로 업그레이드하거나 strstr/strrpos 함수 호출 순서 수정
🔧 검증 코드
WikkaWiki 설치 경로에서 strstr/strrpos 함수 호출을 확인하고, 인자 순서가 올바른지 (문제가 패치되었는지) 검토합니다.
grep -r 'strstr\|strrpos' /path/to/wikka --include='*.php' | grep -v '//' | head -10