🇰🇷 한글 설명
Cant Find A Gaming CMS (CFAGCMS) 버전 1의 themes/default/index.php에서 main과 right 파라미터를 통해 원격 파일 포함 취약점이 존재합니다. 공격자는 이를 이용하여 임의의 PHP 코드를 원격에서 실행할 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자 입력을 제대로 검증하지 않아 공격자가 악의적인 파일을 실행시킬 수 있는 문제입니다. 이를 통해 웹사이트의 모든 데이터에 접근하거나 조작할 수 있습니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in themes/default/index.php in Cant Find A Gaming CMS (CFAGCMS) 1 allow remote attackers to execute arbitrary PHP code via a URL in the (1) main and (2) right parameters.
📍 영향받는 시스템
Cant Find A Gaming CMS (CFAGCMS) 버전 1.0 이하
⚔️ 공격 벡터
HTTP GET/POST 요청으로 main 또는 right 파라미터에 원격 PHP 파일 URL을 주입하여 원격 코드 실행
🛡️ 대응 방법
CFAGCMS를 최신 버전으로 업데이트하거나 themes/default/index.php의 파라미터에 대한 엄격한 입력 검증 및 화이트리스트 필터링 적용
🔧 검증 코드
0이 출력되면 취약점이 수정된 것이고, 1 이상이면 파일 포함 취약점이 존재할 가능성이 있습니다.
grep -rn 'include.*\$_\(GET\|POST\|REQUEST\)' /path/to/cfagcms/themes/default/ 2>/dev/null | wc -l