🇰🇷 한글 설명
ZIPANG Point Maker의 PHP include/require 문에서 파일명을 부적절하게 제어하여 발생하는 원격 파일 포함(RFI) 및 로컬 파일 포함(LFI) 취약점입니다. 버전 0.1.4 이하의 모든 설치에 영향을 주며, 공격자가 악의적인 파일을 포함시켜 임의의 코드 실행이 가능합니다.
💡 쉬운 설명
Point Maker 프로그램이 파일을 불러올 때 검증 없이 사용자 입력을 신뢰하는 결함입니다. 해커가 이를 악용하면 악성 파일을 실행시켜 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ZIPANG Point Maker point-maker allows PHP Local File Inclusion.This issue affects Point Maker: from n/a through <= 0.1.4.
📍 영향받는 시스템
ZIPANG Point Maker 버전 0.1.4 이하 모든 버전
⚔️ 공격 벡터
특수 제작된 파일명 매개변수를 통해 원격/로컬 파일을 PHP include/require 함수로 강제 로드
🛡️ 대응 방법
Point Maker를 0.1.5 이상으로 즉시 업그레이드하고, 파일 경로 입력값에 화이트리스트 검증 추가
🔧 검증 코드
명령 결과에 경로가 출력되면 설치됨 - 해당 디렉토리의 composer.json 또는 버전 파일에서 버전 확인
find / -type d -name 'point-maker' 2>/dev/null | head -1