🔍 CVE-2007-4744

6.8
CVSS Score
MEDIUM
2007-09-06
2026-04-23 00:35
✅ 완료

🇰🇷 한글 설명

AnyInventory 1.9.1 및 2.0의 environment.php에서 발견된 PHP 원격 파일 포함(RFI) 취약점입니다. register_globals 옵션이 활성화되어 있을 때, DIR_PREFIX 매개변수를 통해 원격 공격자가 악의적인 PHP 코드를 실행할 수 있습니다.

💡 쉬운 설명

AnyInventory 소프트웨어에 결함이 있어서 원격 공격자가 악의적인 파일을 강제로 실행하도록 할 수 있습니다. 서버 설정이 잘못되어 있으면 공격자가 전체 웹사이트를 장악할 수 있습니다.

🇺🇸 원문 (English)

PHP remote file inclusion vulnerability in environment.php in AnyInventory 1.9.1 and 2.0, when register_globals is enabled, allows remote attackers to execute arbitrary PHP code via a URL in the DIR_PREFIX parameter.

📍 영향받는 시스템

AnyInventory 1.9.1, 2.0 (register_globals=On인 경우)

⚔️ 공격 벡터

DIR_PREFIX 매개변수에 원격 서버의 PHP 파일 URL을 주입하여 원격 파일 포함 공격 실행

🛡️ 대응 방법

AnyInventory를 최신 버전으로 업그레이드, register_globals를 Off로 설정, 입력값 검증 및 필터링 적용

🔧 검증 코드

register_globals 값이 Empty/0/Off이면 안전하고, 1/On이면 취약함을 나타내며, AnyInventory 버전이 2.0 이상이면 패치 필요

Shell / Script 
php -r "echo 'register_globals: ' . ini_get('register_globals') . PHP_EOL;" && grep -i 'version\|anyinventory' /path/to/app/config.php 2>/dev/null | head -1

📊 CVSS Vector String

CVSS Vector 
AV:N/AC:M/Au:N/C:P/I:P/A:P

💻 영향받는 소프트웨어

PHP