🇰🇷 한글 설명
Simple PHP Agenda 2.2.4 이하 버전의 index.php에서 디렉토리 트래버설 취약점이 존재합니다. page 파라미터에 '..' (점점)을 포함시켜 임의의 로컬 파일을 포함하고 실행할 수 있습니다. 인증 없이 원격에서 악용 가능합니다.
💡 쉬운 설명
웹사이트가 page라는 주소창 입력값을 검증 없이 사용할 때, '..'을 이용해 폴더를 벗어나 다른 파일들을 볼 수 있습니다. 공격자가 서버의 민감한 파일에 접근하거나 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Directory traversal vulnerability in index.php in Simple PHP Agenda 2.2.4 and earlier allows remote attackers to include and execute arbitrary local files via a .. (dot dot) in the page parameter.
📍 영향받는 시스템
Simple PHP Agenda 버전 2.2.4 이하
⚔️ 공격 벡터
HTTP GET 요청의 page 파라미터에 '../' 디렉토리 트래버설 시퀀스를 삽입하여 악용
🛡️ 대응 방법
Simple PHP Agenda를 2.2.5 이상으로 업그레이드하거나 page 파라미터에 대한 엄격한 입력 검증 구현
🔧 검증 코드
명령 결과에서 Simple PHP Agenda 2.2.4 이하 버전이 검출되면 취약함, 2.2.5 이상 또는 결과 없음은 안전
grep -r "Simple PHP Agenda" /var/www /home /opt 2>/dev/null | grep -E "2\.[0-2]\.[0-4]" | head -1