🇰🇷 한글 설명
ThemeMove MaxCoach 플러그인의 부적절한 파일명 제어 취약점으로, PHP 파일 포함(Local File Inclusion) 공격을 통해 서버의 로컬 파일에 접근할 수 있습니다. 3.2.5 버전 이하의 MaxCoach가 영향을 받으며, 공격자가 악의적인 요청을 통해 시스템 파일을 읽거나 실행할 수 있습니다.
💡 쉬운 설명
MaxCoach 플러그인의 파일 로딩 기능을 악용하면 공격자가 서버에 저장된 민감한 파일들(설정 파일, 개인정보 등)을 무단으로 읽을 수 있습니다. 이는 보안 검증이 없어서 누구나 원하는 파일에 접근할 수 있는 상태입니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThemeMove MaxCoach maxcoach allows PHP Local File Inclusion.This issue affects MaxCoach: from n/a through <= 3.2.5.
📍 영향받는 시스템
ThemeMove MaxCoach 버전 3.2.5 이하
⚔️ 공격 벡터
PHP include/require 파라미터 조작을 통해 로컬 파일 포함(LFI) 공격 수행
🛡️ 대응 방법
MaxCoach를 최신 버전으로 업그레이드하거나 파일 포함 함수 입력값에 대한 검증 및 필터링 적용
🔧 검증 코드
명령어가 MaxCoach 디렉토리 및 버전 정보를 반환하면 취약한 버전 설치 확인, 'MaxCoach not installed'면 플러그인이 설치되어 있지 않습니다.
find /var/www/html -name '*maxcoach*' -type d 2>/dev/null | head -1 && grep -r 'Version: 3.2' /var/www/html 2>/dev/null | grep -i maxcoach || echo 'MaxCoach not installed'