🇰🇷 한글 설명
ExS Widgets 플러그인의 경로 검증 부재로 인한 Path Traversal 취약점으로, 공격자가 PHP Local File Inclusion(LFI) 공격을 통해 서버의 임의 파일에 접근할 수 있습니다. 0.3.1 이하 버전이 영향을 받으며, 권한 없는 파일 열람으로 인한 정보 유출 위험이 있습니다.
💡 쉬운 설명
공격자가 파일 경로를 조작하여 서버의 민감한 파일(설정, 소스코드 등)을 무단으로 읽을 수 있는 보안 결함입니다. PHP 실행 권한으로 실행되어 시스템 정보 노출 및 추가 공격의 발판이 될 수 있습니다.
🇺🇸 원문 (English)
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in ExS ExS Widgets allows PHP Local File Inclusion.This issue affects ExS Widgets: from n/a through 0.3.1.
📍 영향받는 시스템
ExS Widgets 버전 0.3.1 이하 모든 버전
⚔️ 공격 벡터
GET/POST 파라미터에 ../ 또는 절대 경로를 포함시켜 파일 포함 메커니즘을 통한 임의 파일 읽기
🛡️ 대응 방법
ExS Widgets를 0.3.2 이상으로 업그레이드 또는 입력값 검증 및 경로 정규화 적용
🔧 검증 코드
설치된 ExS Widgets 파일이 발견되면 경로 표시, 미발견 시 'Not found in common paths' 출력 - 발견된 경로의 버전 정보 확인 필요
grep -r 'exs-widgets\|ExS.*Widgets' /var/www /home 2>/dev/null | head -1 || echo 'Not found in common paths'