🇰🇷 한글 설명
PHP의 include/require 문에서 파일명을 부적절하게 검증하여 발생하는 원격/로컬 파일 포함 취약점입니다. hockeydata LOS 1.2.4 이하에서 공격자가 악의적인 파일 경로를 주입하여 시스템 파일을 읽거나 코드를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자 입력을 검증하지 않고 파일을 열 때, 공격자가 원하는 파일(예: 암호, 설정 파일)을 강제로 열게 할 수 있습니다. 이를 통해 민감 정보 유출 또는 악성 코드 실행이 가능합니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in hockeydata hockeydata LOS hockeydata-los allows PHP Local File Inclusion.This issue affects hockeydata LOS: from n/a through <= 1.2.4.
📍 영향받는 시스템
hockeydata LOS 버전 1.2.4 이하
⚔️ 공격 벡터
URL 파라미터나 폼 입력을 통해 파일 경로를 조작하여 include/require 함수에 전달, 시스템 파일(/etc/passwd 등) 또는 원격 파일 포함
🛡️ 대응 방법
hockeydata LOS를 1.2.5 이상으로 업그레이드하고, include/require 사용 전 파일 경로 화이트리스트 검증 구현
🔧 검증 코드
composer 결과에서 version이 1.2.4 이하면 취약합니다. 패키지가 설치되지 않았으면 결과가 없거나 'not found' 메시지가 표시됩니다.
composer show hockeydata/los 2>/dev/null || dpkg -l 2>/dev/null | grep -i hockeydata