🇰🇷 한글 설명
PHP의 include/require 문에서 파일명에 대한 검증이 부족하여 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자는 조작된 요청을 통해 임의의 파일을 포함시켜 코드 실행을 야기할 수 있습니다. Rozy - Flower Shop 1.2.25 이하 모든 버전이 영향을 받습니다.
💡 쉬운 설명
웹사이트가 어떤 파일을 읽을지 결정할 때, 공격자가 그 결정을 조종할 수 있는 결함입니다. 이를 악용하면 공격자가 서버의 민감한 파일을 읽거나 악의적인 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in magentech Rozy - Flower Shop rozy allows PHP Local File Inclusion.This issue affects Rozy - Flower Shop: from n/a through <= 1.2.25.
📍 영향받는 시스템
magentech Rozy - Flower Shop 버전 1.2.25 이하
⚔️ 공격 벡터
URL 파라미터나 POST 요청의 파일명 필드를 조작하여 include/require 함수가 의도하지 않은 파일을 포함하도록 유도
🛡️ 대응 방법
Rozy - Flower Shop을 버전 1.2.26 이상으로 즉시 업그레이드하거나 파일명 입력값에 대한 화이트리스트 검증 추가
🔧 검증 코드
결과에서 버전 정보가 1.2.25 이하로 표시되면 취약한 상태이며, 1.2.26 이상 패치 적용 필요
find /var/www -type f -name '*.php' 2>/dev/null | xargs grep -l 'rozy\|Rozy' | xargs grep -i 'version' | head -5