🇰🇷 한글 설명
Karzo PHP 애플리케이션의 파일 포함 기능에서 부적절한 입력 검증으로 인해 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자가 조작된 경로를 통해 시스템의 임의 파일을 읽거나 실행할 수 있습니다.
💡 쉬운 설명
Karzo 소프트웨어가 사용자 입력을 제대로 확인하지 않아 공격자가 서버의 다른 파일들에 접근할 수 있게 됩니다. 이를 통해 민감한 정보를 탈취하거나 악의적인 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in designervily Karzo karzo allows PHP Local File Inclusion.This issue affects Karzo: from n/a through < 2.6.
📍 영향받는 시스템
Karzo 2.6 미만 모든 버전
⚔️ 공격 벡터
파일 포함 파라미터에 경로 순회 문자열(../)을 포함한 악의적인 입력을 제공
🛡️ 대응 방법
Karzo를 2.6 이상으로 업그레이드하고 입력 검증 및 화이트리스트 기반 파일 접근 제어 구현
🔧 검증 코드
Karzo 설치 경로를 찾은 후, 버전 파일 또는 package manager를 통해 설치된 버전이 2.6 이상인지 확인
find / -name '*karzo*' -o -name '*karzo*.conf' 2>/dev/null | head -5