🇰🇷 한글 설명
CMME 1.19의 info.php 파일이 접근 제어 없이 공개되어 있어, 원격 공격자가 phpinfo() 함수 실행 결과를 통해 PHP 버전, 활성화된 확장자, 서버 설정 등 민감한 시스템 정보를 획득할 수 있습니다. 이는 정보 유출(Information Disclosure) 취약점으로 분류됩니다.
💡 쉬운 설명
웹사이트의 정보 페이지가 잠금 없이 공개되어 있어서, 누구나 접속하면 서버의 비밀 설정 정보들을 볼 수 있습니다. 이 정보를 바탕으로 다른 더 심각한 공격을 준비할 수 있게 됩니다.
🇺🇸 원문 (English)
Content Management Made Easy (CMME) 1.19 allows remote attackers to obtain system information via a direct request to info.php, which invokes the phpinfo function.
📍 영향받는 시스템
CMME (Content Management Made Easy) 1.19 및 그 이전 버전
⚔️ 공격 벡터
브라우저에서 직접 info.php 파일 URL 접근 (예: http://target.com/info.php)
🛡️ 대응 방법
1) info.php 파일 삭제 또는 이름 변경 2) 접근 제어 설정 3) CMME를 최신 버전으로 업그레이드
🔧 검증 코드
명령어 실행 시 phpinfo() 출력이 보이면 취약점이 존재합니다. PHP 버전, 확장자, 시스템 정보 등이 노출되는지 확인하세요.
curl -s http://target/info.php | head -20 | grep -i 'php version\|system\|os'