🇰🇷 한글 설명
MatrixAddons Easy Invoice 플러그인의 부정확한 파일명 제어로 인해 PHP include/require 문에서 Local File Inclusion(LFI) 취약점이 발생합니다. 버전 2.1.4 이하가 영향을 받으며, 공격자가 악의적인 파일 경로를 전달하여 서버의 임의 파일을 포함할 수 있습니다.
💡 쉬운 설명
Easy Invoice 플러그인에서 파일을 불러올 때 입력값을 제대로 검증하지 않아, 해커가 원하는 파일을 강제로 로드할 수 있습니다. 시스템 정보 노출이나 악성 코드 실행으로 이어질 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in MatrixAddons Easy Invoice easy-invoice allows PHP Local File Inclusion.This issue affects Easy Invoice: from n/a through <= 2.1.4.
📍 영향받는 시스템
MatrixAddons Easy Invoice <= 2.1.4
⚔️ 공격 벡터
include/require 파라미터에 조작된 파일 경로(../../etc/passwd 등)를 입력하여 서버의 임의 파일 접근
🛡️ 대응 방법
Easy Invoice를 2.1.5 이상으로 업그레이드하거나 플러그인 비활성화
🔧 검증 코드
결과가 반환되면 해당 경로의 플러그인이 설치된 상태이며, 버전 확인 후 2.1.4 이하면 업그레이드 필요
find . -path '*easy-invoice*' -name '*.php' 2>/dev/null | head -1 | xargs grep -l 'include\|require' | head -1