🇰🇷 한글 설명
Online Fantasy Football League 0.2.6의 offl_nflteam.php 파일에서 DOC_ROOT 매개변수를 통한 PHP 원격 파일 포함(RFI) 취약점입니다. 원격 공격자가 제어 가능한 URL을 통해 임의의 PHP 코드를 실행할 수 있습니다. 다만 __FILE__ 테스트로 인해 직접 요청에 대한 보호가 있어 실제 활용도는 제한적입니다.
💡 쉬운 설명
웹사이트가 외부 파일 경로를 안전하지 않게 처리하여 공격자가 악의적인 코드를 실행시킬 수 있는 문제입니다. 그러나 기본 보안 검사가 있어서 실제 공격은 어렵습니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in lib/classes/offl_nflteam.php in Online Fantasy Football League (OFFL) 0.2.6 allows remote attackers to execute arbitrary PHP code via a URL in the DOC_ROOT parameter. NOTE: this issue is disputed by CVE because a __FILE__ test protects offl_nflteam.php against direct requests
📍 영향받는 시스템
Online Fantasy Football League (OFFL) 0.2.6 이전 버전
⚔️ 공격 벡터
DOC_ROOT 매개변수에 원격 파일 URL을 삽입하여 PHP 코드 실행
🛡️ 대응 방법
OFFL을 최신 버전으로 업그레이드하고 DOC_ROOT 매개변수 입력값 검증 강화
🔧 검증 코드
offl_nflteam.php 파일이 발견되면 해당 버전 확인 필요. 파일이 없으면 OFFL이 설치되지 않았거나 이미 제거됨
find / -name 'offl_nflteam.php' 2>/dev/null | head -5