🇰🇷 한글 설명
Build App Online 1.0.23 이하에서 PHP Include/Require 문의 파일명 제어가 불충분하여 로컬/원격 파일 포함 취약점이 발생합니다. 공격자는 임의의 파일을 포함시켜 원격 코드 실행이 가능합니다.
💡 쉬운 설명
Build App Online 앱이 사용자가 어떤 파일을 열지 제대로 검증하지 않습니다. 공격자는 이를 악용해 악의적인 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in hakeemnala Build App Online build-app-online allows PHP Local File Inclusion.This issue affects Build App Online: from n/a through <= 1.0.23.
📍 영향받는 시스템
Build App Online 버전 <= 1.0.23
⚔️ 공격 벡터
Include/Require 파라미터에 로컬 파일 경로나 원격 URL을 주입하여 임의 코드 실행
🛡️ 대응 방법
Build App Online을 1.0.24 이상으로 업그레이드하거나 사용자 입력값에 대한 파일명 화이트리스트 검증 추가
🔧 검증 코드
버전이 1.0.23 이하로 출력되면 취약함. 1.0.24 이상이면 패치됨.
grep -E '"version"|VERSION' /path/to/build-app-online/config.php 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'