🇰🇷 한글 설명
Max Chirkov Talemy 1.2.23 이하 버전에서 PHP 파일 포함 명령문의 부적절한 파일명 제어로 인한 로컬/원격 파일 포함(LFI/RFI) 취약점입니다. 공격자가 조작된 파일 경로를 전달하여 임의의 파일을 실행할 수 있습니다. CVSS 8.1로 심각한 수준의 보안 결함입니다.
💡 쉬운 설명
Talemy가 사용자 입력을 제대로 검증하지 않아, 공격자가 악의적인 파일을 실행하도록 조작할 수 있습니다. 이를 통해 시스템 제어권을 빼앗길 위험이 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Max Chirkov Talemy talemy allows PHP Local File Inclusion.This issue affects Talemy: from n/a through <= 1.2.23.
📍 영향받는 시스템
Max Chirkov Talemy 1.2.23 이하 모든 버전
⚔️ 공격 벡터
사용자 입력으로 악의적인 파일 경로를 PHP include/require 함수에 전달하여 원격 코드 실행
🛡️ 대응 방법
Talemy를 1.2.24 이상으로 즉시 업그레이드하고, 파일 포함 입력값에 대한 엄격한 화이트리스트 검증 적용
🔧 검증 코드
표시된 Talemy 버전이 1.2.23 이하면 취약점 존재, 1.2.24 이상이면 패치됨, 패키지 미설치면 영향 없음
dpkg -l 2>/dev/null | grep -i talemy || composer show talemy 2>/dev/null || npm list talemy 2>/dev/null || echo 'Talemy not found'