🔍 CVE-2007-2286

7.5
CVSS Score
HIGH
2007-04-26
2026-04-23 00:35
✅ 완료

🇰🇷 한글 설명

Built2Go PHP Link Portal 1.79의 config.php 파일에 원격 파일 포함(RFI) 취약점이 존재합니다. full_path_to_db 파라미터에 임의의 URL을 입력하여 원격 서버의 PHP 코드를 포함시킬 수 있으며, 이를 통해 웹 서버 권한으로 임의의 PHP 코드를 실행할 수 있습니다.

💡 쉬운 설명

웹사이트에서 파일 경로를 입력받을 때 외부 서버의 파일을 불러올 수 있도록 하는 보안 결함입니다. 공격자가 악의적인 코드가 담긴 외부 파일의 주소를 입력하면 웹서버가 그 코드를 실행해버립니다.

🇺🇸 원문 (English)

PHP remote file inclusion vulnerability in config.php in Built2Go PHP Link Portal 1.79 allows remote attackers to execute arbitrary PHP code via a URL in the full_path_to_db parameter.

📍 영향받는 시스템

Built2Go PHP Link Portal 1.79 이전 버전

⚔️ 공격 벡터

HTTP GET/POST 요청으로 full_path_to_db 파라미터에 원격 파일 URL을 전송하여 config.php 실행 시 외부 PHP 파일 포함

🛡️ 대응 방법

1.80 이상의 최신 버전으로 업그레이드하거나 full_path_to_db 파라미터 검증 추가 (로컬 경로만 허용, URL 프로토콜 필터링)

🔧 검증 코드

시스템에 설치된 Built2Go Portal의 config.php 파일을 찾아 full_path_to_db 파라미터가 사용자 입력을 직접 include하는지 확인 (결과가 나오면 취약점 존재 가능성 높음)

Shell / Script 
find /var/www -name 'config.php' -type f -exec grep -l 'full_path_to_db' {} \; 2>/dev/null | head -5

📊 CVSS Vector String

CVSS Vector 
AV:N/AC:L/Au:N/C:P/I:P/A:P

💻 영향받는 소프트웨어

PHP