🇰🇷 한글 설명
phpMyInventory 2.8의 Includes/global.inc.php 파일에 원격 파일 포함(RFI) 취약점이 존재하여, strIncludePrefix 파라미터를 통해 공격자가 원격 PHP 코드를 실행할 수 있습니다. 이는 완전한 서버 제어를 초래할 수 있는 극도로 심각한 취약점입니다.
💡 쉬운 설명
어떤 웹사이트가 외부 파일을 불러올 때 검증을 제대로 하지 않으면, 해커가 자신의 파일을 대신 불러오게 만들 수 있습니다. 이 파일에 악성 코드가 들어있으면 웹서버가 해커 명령을 실행하게 됩니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in Includes/global.inc.php in phpMyInventory 2.8 allows remote attackers to execute arbitrary PHP code via a URL in the strIncludePrefix parameter.
📍 영향받는 시스템
phpMyInventory 2.8 이하
⚔️ 공격 벡터
URL 파라미터 strIncludePrefix에 공격자 제어 파일 경로(예: http://attacker.com/shell.php) 입력
🛡️ 대응 방법
phpMyInventory를 최신 버전으로 업그레이드하고, 파일 포함 파라미터 검증 추가 및 allow_url_include=Off 설정
🔧 검증 코드
grep에서 결과가 나오면 취약한 phpMyInventory가 설치되어 있을 가능성이 있으며, 버전 확인 후 업그레이드 필요
grep -r 'strIncludePrefix' /var/www/html 2>/dev/null | grep -i phpmyinventory