🇰🇷 한글 설명
zozothemes Corpkit 2.0 이하 버전의 PHP include/require 문에서 파일명을 검증 없이 처리하여 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자는 경로 조작을 통해 서버의 임의 파일(설정 파일, 데이터베이스 접근정보 등)에 접근하거나 악성 코드를 실행할 수 있습니다.
💡 쉬운 설명
Corpkit 웹 빌더의 버그로 인해 공격자가 서버 내부 파일에 접근할 수 있는 취약점입니다. 파일명을 조작하면 비밀번호, 설정 파일, 악성 코드 실행 등이 가능해집니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in zozothemes Corpkit corpkit allows PHP Local File Inclusion.This issue affects Corpkit: from n/a through <= 2.0.
📍 영향받는 시스템
zozothemes Corpkit version 2.0 이하 모든 버전
⚔️ 공격 벡터
사용자 입력을 include/require 함수에 직접 전달하는 파라미터에 경로 순회(../) 문자열 삽입
🛡️ 대응 방법
최신 버전으로 즉시 업그레이드 또는 입력 값 화이트리스트 검증 및 basename() 함수로 경로 조작 방지
🔧 검증 코드
명령어 결과에서 zozothemes/corpkit이 표시되면, version 필드에서 2.0 이하인지 확인하여 즉시 패치를 적용합니다.
grep -E 'zozothemes|Corpkit' /var/www/html/composer.json 2>/dev/null | head -1 || find /var/www -type d -name 'corpkit' 2>/dev/null | head -1