🇰🇷 한글 설명
PHPLojaFacil 0.1.5의 여러 원격 파일 포함(RFI) 취약점으로, 공격자가 path_local 매개변수를 통해 악의적인 파일을 포함시켜 임의의 PHP 코드를 실행할 수 있습니다. 영향받는 파일은 ftp.php, libs/db.php, libs/ftp.php입니다.
💡 쉬운 설명
PHPLojaFacil이라는 오픈소스 쇼핑몰 소프트웨어에 보안 구멍이 있어서 외부인이 악성 파일을 실행할 수 있습니다. 프로그램이 사용자가 입력한 파일 경로를 검증하지 않고 무조건 포함시켜서 생기는 문제입니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in Crie seu PHPLojaFacil 0.1.5 allow remote attackers to execute arbitrary PHP code via a URL in the path_local parameter to (1) ftp.php, (2) libs/db.php, and (3) libs/ftp.php.
📍 영향받는 시스템
PHPLojaFacil 0.1.5 이하 버전
⚔️ 공격 벡터
ftp.php, libs/db.php, libs/ftp.php의 path_local 매개변수에 원격 악성 파일 경로를 입력하는 RFI(Remote File Inclusion) 공격
🛡️ 대응 방법
PHPLojaFacil을 최신 버전으로 업그레이드하고, PHP.ini의 allow_url_include를 Off로 설정
🔧 검증 코드
결과값이 Off이면 RFI 공격 차단됨. Empty 또는 1(On)이면 취약한 상태로 설정 변경 필요
php -r "echo 'allow_url_include=' . ini_get('allow_url_include');"