🇰🇷 한글 설명
Michele Giorgi의 Formality PHP 패키지 1.5.9 이하 버전에서 부적절한 파일명 제어로 인해 PHP 원격 파일 포함(RFI) 및 로컬 파일 포함(LFI) 취약점이 발생합니다. 공격자가 조작된 입력을 통해 서버가 의도하지 않은 파일을 포함하도록 강제할 수 있습니다.
💡 쉬운 설명
Formality 패키지가 사용자 입력으로부터 어떤 파일을 불러올지 제대로 검증하지 않습니다. 해커가 이를 악용해 서버의 민감한 파일이나 외부 악성 코드를 불러올 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Michele Giorgi Formality formality allows PHP Local File Inclusion.This issue affects Formality: from n/a through <= 1.5.9.
📍 영향받는 시스템
Michele Giorgi Formality 라이브러리 버전 1.5.9 이하
⚔️ 공격 벡터
사용자 입력을 통해 PHP include/require 함수의 파일 경로를 조작하여 임의의 로컬 또는 원격 파일 실행
🛡️ 대응 방법
Formality를 1.5.10 이상의 최신 버전으로 업그레이드 (보안 패치 적용)
🔧 검증 코드
설치된 Formality 버전이 1.5.9 이하면 취약함. 1.5.10 이상이면 패치됨
composer show | grep -i formality | awk '{print $2}' || find . -name 'composer.json' -exec grep -l 'formality' {} \; 2>/dev/null