🇰🇷 한글 설명
Digiqole 플러그인에서 PHP 파일 포함 함수(include/require)의 입력값이 제대로 검증되지 않아, 공격자가 로컬 파일을 임의로 읽을 수 있는 취약점입니다. 2.2.7 미만 버전에서 이 취약점이 존재하며, 인증 없이 악용될 수 있습니다.
💡 쉬운 설명
웹사이트의 프로그램이 사용자 입력을 믿고 파일을 불러올 때, 공격자가 다른 파일을 불러오도록 조작할 수 있습니다. 이를 통해 민감한 정보가 담긴 파일들이 노출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in trippleS Digiqole digiqole allows PHP Local File Inclusion.This issue affects Digiqole: from n/a through < 2.2.7.
📍 영향받는 시스템
Digiqole 2.2.7 미만의 모든 버전
⚔️ 공격 벡터
악의적 경로를 입력하여 서버의 민감한 파일(설정파일, DB 접근정보 등)을 원격으로 읽어내는 공격
🛡️ 대응 방법
Digiqole을 2.2.7 이상으로 업그레이드하고, 파일 포함 함수 호출 전 입력값의 엄격한 검증을 구현
🔧 검증 코드
Digiqole 관련 파일에서 include/require 사용 부분을 찾아 해당 입력값이 제대로 검증되는지 확인하세요. 버전 확인은 플러그인 메타데이터 파일에서 version 필드를 조회합니다.
find /var/www -name 'digiqole*' -o -name '*digiqole*' 2>/dev/null | xargs grep -l 'include\|require' 2>/dev/null | head -5