🇰🇷 한글 설명
PHP 파일 포함 함수에서 파일이름 제어가 부적절하여 로컬 파일 포함 취약점이 발생합니다. Eoxia Montpellier Task Manager 3.0.2 이하에서 공격자가 시스템 파일에 접근하거나 악의적 코드를 실행할 수 있습니다.
💡 쉬운 설명
웹앱이 사용자 입력을 제대로 검증하지 않아 서버 파일을 임의로 읽을 수 있는 결함입니다. 공격자가 이를 악용하면 민감한 데이터 유출이나 서버 침해가 발생합니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Agence web Eoxia – Montpellier Task Manager task-manager allows PHP Local File Inclusion.This issue affects Task Manager: from n/a through <= 3.0.2.
📍 영향받는 시스템
Task Manager version <= 3.0.2
⚔️ 공격 벡터
파일 경로 매개변수 조작을 통한 로컬 파일 포함 (LFI) - include/require 함수에 사용자 제어 입력
🛡️ 대응 방법
Task Manager를 3.0.3 이상으로 업그레이드하고 파일 포함 기능에 화이트리스트 검증 적용
🔧 검증 코드
설치된 Task Manager 버전을 확인하여 3.0.2 이하인 경우 즉시 업그레이드 필요
find / -type f -name 'version.txt' -o -name 'composer.json' 2>/dev/null | xargs grep -l 'task-manager\|Montpellier' 2>/dev/null