🇰🇷 한글 설명
AzDG Dating Gold 3.0.5의 PHP 원격 파일 포함(RFI) 취약점으로, templates/ 디렉토리의 header.php, footer.php, secure.admin.php에서 int_path 매개변수 검증이 부족하여 임의의 PHP 코드 실행이 가능합니다. 공격자는 원격 서버의 악의적인 PHP 파일을 포함시켜 서버 전체를 장악할 수 있습니다.
💡 쉬운 설명
이 취약점은 웹사이트가 사용자가 지정한 파일을 검사 없이 불러오기 때문에, 공격자가 악의적인 파일을 몰래 실행시킬 수 있게 해줍니다. 마치 낯선 사람이 가져온 상자를 아무 확인 없이 받아서 열 때처럼 위험합니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in AzDG Dating Gold 3.0.5 allow remote attackers to execute arbitrary PHP code via a URL in the int_path parameter to (1) header.php, (2) footer.php, or (3) secure.admin.php in templates/.
📍 영향받는 시스템
AzDG Dating Gold 3.0.5 이하 버전
⚔️ 공격 벡터
int_path 매개변수에 원격 파일 URL을 입력하여 악의적인 PHP 파일을 포함시키고 실행
🛡️ 대응 방법
AzDG Dating Gold를 최신 패치 버전으로 업그레이드하거나 int_path 입력값에 대한 엄격한 화이트리스트 검증 및 remote include 비활성화
🔧 검증 코드
결과 출력은 int_path 변수 사용 여부를 확인. 취약한 버전에서는 검증 없이 직접 사용되며, 패치된 버전에서는 필터링/검증 로직을 포함합니다.
grep -r "int_path" /var/www/html --include="*.php" 2>/dev/null | head -5