🇰🇷 한글 설명
DZCP 1.5.2에서 register_globals가 활성화된 경우 inc/config.php의 basePath 매개변수를 통해 원격 파일 포함 취약점이 발생합니다. 공격자는 악의적인 URL을 주입하여 임의의 PHP 코드를 서버에서 실행할 수 있습니다.
💡 쉬운 설명
웹사이트가 외부에서 제공된 파일 주소를 안전하게 검증하지 않고 실행하는 문제입니다. 공격자는 악의적인 코드가 담긴 파일 URL을 보내 서버를 제어할 수 있습니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in inc/config.php in deV!L`z Clanportal (DZCP) 1.5.2, when register_globals is enabled, allows remote attackers to execute arbitrary PHP code via a URL in the basePath parameter.
📍 영향받는 시스템
deV!L`z Clanportal (DZCP) 1.5.2 (register_globals 활성화된 PHP 환경)
⚔️ 공격 벡터
basePath 매개변수에 원격 파일 URL을 주입하여 PHP 코드 실행
🛡️ 대응 방법
DZCP를 최신 버전으로 업그레이드하거나 PHP.ini에서 register_globals를 비활성화하고 입력값 검증 패치 적용
🔧 검증 코드
파일이 반환되면 DZCP가 설치되어 있으며, register_globals가 활성화되면 이 CVE에 취약합니다.
find / -path "*dzcp*" -type f 2>/dev/null | head -1