🇰🇷 한글 설명
Chattaitaliano Istant-Replay의 read.php 파일에서 data 파라미터의 입력 검증 부재로 인한 원격 파일 포함(RFI) 취약점입니다. 공격자는 악의적인 PHP 파일 URL을 제공하여 서버에서 임의 코드를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 read.php가 외부 파일을 검증 없이 로드하는 문제입니다. 공격자가 악성 파일 주소를 보내면 서버가 자동으로 실행하게 됩니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in read.php in Chattaitaliano Istant-Replay allows remote attackers to execute arbitrary PHP code via a URL in the data parameter.
📍 영향받는 시스템
Chattaitaliano Istant-Replay (2008년 이전 버전)
⚔️ 공격 벡터
HTTP GET/POST 요청의 data 파라미터에 원격 악성 PHP 파일 URL 삽입
🛡️ 대응 방법
최신 버전 업그레이드 또는 read.php의 include/require 함수에 입력 화이트리스트 검증 추가 및 allow_url_include 비활성화
🔧 검증 코드
data 파라미터가 직접 include/require에 전달되면 취약점 확인, 필터링 코드가 있으면 패치 상태 확인 필요
grep -r 'include\|require' /path/to/chattaitaliano/read.php 2>/dev/null | grep -E '\$_(GET|POST|REQUEST)\[.*data'