🇰🇷 한글 설명
nophp PHP 웹 프레임워크 0.0.1 미만 버전에서 httpd 사용자의 권한으로 셸 명령 주입(Shell Command Injection)이 발생할 수 있는 취약점입니다. 2023년 3월 30일 커밋을 통해 패치가 제공되었습니다.
💡 쉬운 설명
웹사이트를 만드는 도구인 nophp의 옛날 버전에서 해커가 몰래 명령어를 입력해 서버를 조종할 수 있는 문제입니다. 이 문제를 해결하려면 최신 버전으로 업데이트하거나 보안 패치를 적용해야 합니다.
🇺🇸 원문 (English)
nophp is a PHP web framework. Prior to version 0.0.1, nophp is vulnerable to shell command injection on httpd user. A patch was made available at commit e5409aa2d441789cbb35f6b119bef97ecc3986aa on 2023-03-30. Users should update index.php to 2023-03-30 or later or, as a workaround, add a function such as `env_patchsample230330.php` to env.php.
📍 영향받는 시스템
nophp PHP web framework version prior to 0.0.1
⚔️ 공격 벡터
HTTP 요청을 통한 셸 명령 주입 (Shell Command Injection)
🛡️ 대응 방법
index.php를 2023-03-30 이후 버전으로 업데이트하거나 env.php에 env_patchsample230330.php 함수를 추가하십시오.
🔧 검증 코드
명령어 실행 결과로 패치 커밋 해시값이 출력되면 안전하며, 'Patch not found'가 출력되면 취약할 수 있습니다.
grep -r "e5409aa2d441789cbb35f6b119bef97ecc3986aa" . || echo 'Patch not found'