🇰🇷 한글 설명
OpenPinboard 2.0의 index.php에서 language 파라미터를 통한 원격 파일 포함(RFI) 취약점으로, 공격자가 악의적인 URL을 전달하여 임의의 PHP 코드를 실행할 수 있습니다. 설치 완료 전의 짧은 시간 윈도우에서만 위험하며, 변수가 사용 전에 설정되어 실제 위험성은 제한적입니다.
💡 쉬운 설명
OpenPinboard 설정 중 언어 선택 기능에 보안 결함이 있어 악의적인 사람이 원격 코드를 실행할 수 있습니다. 이는 설치 과정 중에만 발생하는 제한된 위험입니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in index.php in OpenPinboard 2.0 allows remote attackers to execute arbitrary PHP code via a URL in the language parameter. NOTE: this issue has been disputed by the developer and a third party, since the variable is set before use. CVE analysis suggests that there is a small time window of risk before the installation is complete
📍 영향받는 시스템
OpenPinboard 2.0 (설치 중/설치 직후)
⚔️ 공격 벡터
language 파라미터에 원격 파일 URL 주입으로 PHP 코드 실행
🛡️ 대응 방법
OpenPinboard를 최신 버전으로 업그레이드하고 설치 완료 후 접근 제어 적용
🔧 검증 코드
language 변수 처리 부분을 확인하여 사용자 입력 검증 및 필터링 여부 확인
grep -n 'language' /path/to/openpiboard/index.php | head -5