🇰🇷 한글 설명
Active PHP Bookmark Notes 0.2.5 이하의 templates/head.php에 존재하는 PHP 원격 파일 포함 취약점으로, 공격자가 APB_SETTINGS[template_path] 매개변수에 악의적인 URL을 입력하여 원격에서 임의의 PHP 코드를 실행할 수 있습니다. 이는 CVSS 10.0의 치명적인 보안 결함입니다.
💡 쉬운 설명
공격자가 악의적인 웹사이트 주소를 입력하면 서버에서 임의의 코드가 실행되는 취약점입니다. 웹 애플리케이션이 사용자 입력을 검증하지 않을 때 발생합니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in templates/head.php in Active PHP Bookmark Notes (APB) 0.2.5 and earlier allows remote attackers to execute arbitrary PHP code via a URL in the APB_SETTINGS[template_path] parameter. NOTE: this issue might be related to CVE-2003-1254.
📍 영향받는 시스템
Active PHP Bookmark Notes (APB) 0.2.5 이하 버전
⚔️ 공격 벡터
templates/head.php의 ABP_SETTINGS[template_path] 매개변수에 원격 파일 URL 전달로 코드 실행
🛡️ 대응 방법
APB를 최신 버전으로 업그레이드하거나 template_path 입력값의 검증 및 화이트리스트 적용
🔧 검증 코드
'APB installed' 메시지가 나오면 취약한 버전이 설치되어 있을 가능성이 있으므로 버전 확인 후 업그레이드 필요
find /var/www -name 'head.php' -path '*/templates/*' 2>/dev/null | grep -q . && echo 'APB installed' || echo 'APB not found'