🇰🇷 한글 설명
phpCOIN 1.2.1의 mod.php에 존재하는 디렉토리 트래버설 취약점으로, 원격 공격자가 mod 매개변수에 '..'을 삽입하여 서버의 임의 파일을 읽을 수 있습니다. 이는 시스템의 민감한 정보 유출로 이어질 수 있습니다.
💡 쉬운 설명
웹사이트의 폴더 구조를 빠져나가 허가받지 않은 파일들을 읽을 수 있는 취약점입니다. 공격자가 '../' 같은 경로를 이용해 비밀번호 파일, 설정 파일 등을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Directory traversal vulnerability in mod.php in phpCOIN 1.2.1 allows remote attackers to read arbitrary files via a .. (dot dot) in the mod parameter.
📍 영향받는 시스템
phpCOIN 1.2.1 이하 버전
⚔️ 공격 벡터
mod 파라미터에 '../' 등의 경로 트래버설 문자열을 포함하여 HTTP 요청 전송
🛡️ 대응 방법
phpCOIN을 최신 버전으로 업그레이드하거나 입력 검증으로 '..'과 경로 구분자 필터링
🔧 검증 코드
mod.php 파일이 발견되면 경로를 확인한 후 해당 phpCOIN 버전이 1.2.1 이하인지 확인하여 취약한지 판단
find /var/www -name 'mod.php' -type f 2>/dev/null | head -1