🇰🇷 한글 설명
Clearblue Ovulation Calculator의 PHP Local File Inclusion 취약점으로, 부적절한 파일명 제어로 인해 발생합니다. 공격자가 PHP의 include/require 문을 통해 임의의 로컬 파일을 포함하여 읽거나 실행할 수 있습니다. 버전 1.2.4 이하가 영향을 받습니다.
💡 쉬운 설명
웹사이트의 서버에서 민감한 파일을 읽을 수 있는 취약점입니다. 공격자가 URL을 조작하여 설정 파일, 데이터베이스 정보 등 노출되면 안 되는 파일에 접근할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Clearblue Clearblue® Ovulation Calculator clearblue-ovulation-calculator allows PHP Local File Inclusion.This issue affects Clearblue® Ovulation Calculator: from n/a through <= 1.2.4.
📍 영향받는 시스템
Clearblue Ovulation Calculator <= 1.2.4
⚔️ 공격 벡터
PHP include/require 함수에 사용자 입력을 직접 전달하여 로컬 파일 경로 조작 후 접근
🛡️ 대응 방법
Clearblue Ovulation Calculator를 1.2.5 이상으로 업그레이드하거나 파일 경로 입력 유효성 검사 및 화이트리스트 적용
🔧 검증 코드
명령어가 버전 번호를 반환하면 해당 버전이 1.2.4 이하인지 확인하여 취약성 여부를 판단합니다.
find /var/www -type f -name '*.php' 2>/dev/null | xargs grep -l 'version' | head -1 && grep -i 'clearblue\|ovulation' /var/www/html/index.php 2>/dev/null | grep -o '[0-9]\.[0-9]\.[0-9]'