🇰🇷 한글 설명
odude Flexi – Guest Submit 플러그인 버전 4.28 이하에서 PHP include/require 문에 사용되는 파일명에 대한 부적절한 제어로 인한 Local File Inclusion(LFI) 취약점입니다. 공격자가 서버의 임의 파일을 읽거나 실행할 수 있습니다.
💡 쉬운 설명
웹 플러그인이 사용자 입력을 검증하지 않아 공격자가 서버의 숨겨진 파일에 접근할 수 있습니다. 민감한 정보 탈취나 시스템 제어로 이어질 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in odude Flexi – Guest Submit flexi allows PHP Local File Inclusion.This issue affects Flexi – Guest Submit: from n/a through <= 4.28.
📍 영향받는 시스템
odude Flexi – Guest Submit 플러그인 버전 <= 4.28
⚔️ 공격 벡터
취약한 파라미터에 상대 경로(예: ../../etc/passwd) 또는 시스템 파일 경로를 주입하여 파일 포함 유도
🛡️ 대응 방법
플러그인을 4.29 이상으로 업데이트하거나 파일 경로 입력값에 대한 검증 및 화이트리스트 구현
🔧 검증 코드
반환된 수가 0에 가까우면 동적 파일 포함이 최소화된 상태이며, 큰 수치는 위험도가 높음을 의미합니다.
grep -r 'include\|require' /path/to/plugin/ --include='*.php' | grep -v '#' | wc -l