🇰🇷 한글 설명
XOOPS의 TinyContent 1.5 모듈에 있는 admin/spaw/spaw_control.class.php 파일의 원격 파일 포함 취약점입니다. spaw_root 파라미터를 통해 공격자가 원격에서 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트 관리 도구에서 악의적인 사람이 URL을 조작해서 다른 곳의 파일을 불러올 수 있는 문제입니다. 이를 통해 서버에서 원하는 명령어를 실행할 수 있게 됩니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in admin/spaw/spaw_control.class.php in the TinyContent 1.5 module for XOOPS allows remote attackers to execute arbitrary PHP code via a URL in the spaw_root parameter. NOTE: this issue is probably a duplicate of CVE-2006-4656.
📍 영향받는 시스템
XOOPS TinyContent 모듈 1.5 및 이전 버전
⚔️ 공격 벡터
spaw_root 파라미터에 원격 파일 경로를 전달하여 PHP 코드 실행
🛡️ 대응 방법
TinyContent 모듈을 최신 버전으로 업그레이드하거나 admin/spaw/spaw_control.class.php 파일의 입력값 검증 추가
🔧 검증 코드
시스템에 XOOPS 또는 TinyContent 모듈이 설치되어 있으면 해당 파일 경로가 표시되고, 설치되지 않았거나 업그레이드되었으면 결과가 없음
find / -path '*XOOPS*' -name 'spaw_control.class.php' -o -name '*TinyContent*' 2>/dev/null | head -20