🇰🇷 한글 설명
ThemeMove EduMall 4.4.7 이하 버전에서 PHP Include/Require 문의 파일명에 대한 부적절한 제어로 인한 Local File Inclusion (LFI) 취약점입니다. 공격자는 악의적으로 조작된 파일 경로를 통해 서버의 임의 파일을 포함시켜 민감한 정보를 열람하거나 원격 코드 실행을 시도할 수 있습니다.
💡 쉬운 설명
EduMall 웹사이트에서 사용자가 임의의 파일을 읽을 수 있는 보안 결함입니다. 해커가 설정 파일이나 비밀번호 정보 같은 중요 파일에 접근할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in ThemeMove EduMall edumall allows PHP Local File Inclusion.This issue affects EduMall: from n/a through <= 4.4.7.
📍 영향받는 시스템
ThemeMove EduMall <= 4.4.7
⚔️ 공격 벡터
HTTP GET/POST 요청을 통해 Include/Require 함수의 경로 매개변수에 ../../../ 등의 경로 트래버설 문자열을 삽입하여 서버의 임의 파일 접근
🛡️ 대응 방법
EduMall을 4.4.8 이상으로 즉시 업그레이드하고 파일 경로 입력값을 화이트리스트 기반으로 검증하는 패치 적용