🇰🇷 한글 설명
phpMoneyBooks 1.0.3 이전 버전의 index.php 파일에 존재하는 디렉토리 트래버설 취약점입니다. 공격자는 module 파라미터에 '..' (점 점)을 삽입하여 서버의 임의의 로컬 파일을 포함하고 실행할 수 있습니다.
💡 쉬운 설명
웹사이트가 폴더 경로를 검증하지 않아, 공격자가 '..'를 사용해 상위 폴더의 파일에 접근할 수 있는 문제입니다. 서버의 민감한 파일을 읽거나 악성 파일을 실행할 수 있습니다.
🇺🇸 원문 (English)
Directory traversal vulnerability in index.php in phpMoneyBooks before 1.0.3 allows remote attackers to include and execute arbitrary local files via a .. (dot dot) in the module parameter.
📍 영향받는 시스템
phpMoneyBooks < 1.0.3
⚔️ 공격 벡터
HTTP 요청의 module 파라미터에 '../'를 포함시켜 디렉토리 트래버설 수행 (예: index.php?module=../../etc/passwd)
🛡️ 대응 방법
phpMoneyBooks를 1.0.3 이상으로 업그레이드하거나, 입력 검증을 통해 '..' 문자열을 필터링
🔧 검증 코드
시스템에 phpMoneyBooks가 설치되어 있으면 설치 경로가 출력됩니다. 해당 디렉토리의 버전 파일이나 index.php의 버전 정보를 확인하여 1.0.3 이상인지 검증하세요.
find / -name 'phpMoneyBooks*' -o -name 'index.php' 2>/dev/null | xargs grep -l 'Version' 2>/dev/null | head -1