🇰🇷 한글 설명
PHPGlossar 0.8의 관리자 페이지에서 format_menue 매개변수에 대한 입력 검증이 부족하여 원격 파일 포함(RFI) 취약점이 발생합니다. 공격자가 악의적인 PHP 파일 URL을 입력하여 원격에서 임의의 PHP 코드를 실행할 수 있으며, 웹서버의 모든 권한으로 시스템을 장악할 수 있습니다.
💡 쉬운 설명
PHPGlossar 설정 페이지에서 공격자가 악성 파일 주소를 입력하면 웹서버가 그 파일을 실행합니다. 결과적으로 해커가 웹사이트 전체를 제어할 수 있게 됩니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in PHPGlossar 0.8 allow remote attackers to execute arbitrary PHP code via a URL in the format_menue parameter to (1) admin/inc/change_action.php or (2) admin/inc/add.php.
📍 영향받는 시스템
PHPGlossar version 0.8 and earlier
⚔️ 공격 벡터
Sending malicious URL in format_menue parameter to admin/inc/change_action.php or admin/inc/add.php via GET/POST request
🛡️ 대응 방법
Upgrade to patched version or implement strict input validation and URL whitelist for format_menue parameter
🔧 검증 코드
If file path is displayed, PHPGlossar is installed; check version in config file to confirm if it is vulnerable version 0.8 or earlier
find / -path '*/admin/inc/change_action.php' 2>/dev/null | head -1