🔍 CVE-2016-6175

9.8
CVSS Score
CRITICAL
2017-02-07
2026-05-13 00:24
✅ 완료

🇰🇷 한글 설명

php-gettext 1.0.12 이전 버전에서 복수형 헤더의 입력값이 충분히 검증되지 않아 eval() 함수에 의해 평가됩니다. 이를 통해 공격자가 임의의 PHP 코드를 실행할 수 있습니다.

💡 쉬운 설명

php-gettext 라이브러리가 다국어 설정값을 검증하지 않고 실행시켜서 악의적인 코드가 서버에서 돌아갈 수 있습니다. 공격자가 파일을 업로드하거나 설정값을 조작하면 전체 서버를 제어할 수 있습니다.

🇺🇸 원문 (English)

Eval injection vulnerability in php-gettext 1.0.12 and earlier allows remote attackers to execute arbitrary PHP code via a crafted plural forms header.

📍 영향받는 시스템

php-gettext 1.0.12 이전 버전 (모든 플랫폼)

⚔️ 공격 벡터

PO 파일의 Plural-Forms 헤더에 악의적인 PHP 코드를 삽입하여 서버에서 실행

🛡️ 대응 방법

php-gettext를 1.0.13 이상으로 업그레이드하거나 사용자 입력 기반 복수형 헤더 처리를 비활성화

🔧 검증 코드

vendor 디렉토리에 php-gettext가 설치되어 있으면 버전 정보 표시, 없으면 composer를 통해 설치된 버전 확인 (1.0.13 이상이면 안전)

Shell / Script 
find /vendor -name 'gettext.php' -o -name 'gettext' -type d 2>/dev/null | head -1 | xargs grep -l 'version' 2>/dev/null || composer show php-gettext 2>/dev/null | grep 'versions'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP