🇰🇷 한글 설명
Lenxel Core LMS에서 파일 경로 검증이 부족하여 경로 순회(Path Traversal) 공격이 가능한 취약점입니다. 공격자는 PHP 로컬 파일 포함(LFI) 기능을 악용하여 시스템의 제한된 디렉토리 외부의 파일에 접근할 수 있습니다.
💡 쉬운 설명
공격자가 파일 경로를 조작하여 웹 서버의 공개되지 않은 파일(설정 파일, 데이터베이스 정보 등)을 읽을 수 있습니다. 이를 통해 민감한 정보 유출과 시스템 침해로 이어질 수 있습니다.
🇺🇸 원문 (English)
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Ogun Labs Lenxel Core for Lenxel(LNX) LMS lenxel-core allows PHP Local File Inclusion.This issue affects Lenxel Core for Lenxel(LNX) LMS: from n/a through <= 1.3.9.
📍 영향받는 시스템
Lenxel Core for Lenxel(LNX) LMS version 1.3.9 and earlier
⚔️ 공격 벡터
PHP 파일 포함 기능을 통해 ../ 등의 경로 조작으로 제한된 디렉토리 외부 파일 접근 (Path Traversal via LFI)
🛡️ 대응 방법
Lenxel Core를 최신 버전으로 업그레이드하고 모든 파일 경로 입력에 대한 검증 및 정규화 구현
🔧 검증 코드
Lenxel Core 설치 경로를 확인한 후 버전 정보를 조회하여 1.3.9 이하인지 확인하면 취약 여부 판단 가능
find /var/www -name 'composer.json' -o -name 'core.php' 2>/dev/null | xargs grep -l 'lenxel' | head -1