🇰🇷 한글 설명
PHP의 include/require 문에서 파일명을 부적절하게 제어하는 취약점으로, 공격자가 임의의 파일을 로컬에서 읽을 수 있습니다. LoftOcean PatioTime 2.1 미만 버전이 영향을 받으며, 민감한 설정 파일이나 비밀번호 정보 유출 위험이 있습니다.
💡 쉬운 설명
웹사이트가 공격자가 원하는 파일을 읽도록 강제당할 수 있는 취약점입니다. 서버에 저장된 비밀번호, 설정 정보 등 민감한 데이터가 노출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in LoftOcean PatioTime patiotime allows PHP Local File Inclusion.This issue affects PatioTime: from n/a through < 2.1.
📍 영향받는 시스템
LoftOcean PatioTime 버전 2.1 미만
⚔️ 공격 벡터
쿼리 파라미터나 POST 요청에 파일 경로를 주입하여 include/require 함수가 임의의 로컬 파일을 처리하도록 강제
🛡️ 대응 방법
LoftOcean PatioTime을 2.1 이상으로 업그레이드
🔧 검증 코드
설치된 PatioTime 디렉토리가 표시되면 설치된 상태이며, 파일 시스템의 버전을 확인하여 2.1 미만이면 취약합니다.
find / -iname '*patiotime*' -type d 2>/dev/null | head -1