🇰🇷 한글 설명
SourceCodester Online Book Store System 1.0의 관리자 인터페이스(/admin/index.php)에서 취약점이 발견되었습니다. 'page' 인자 값을 조작하여 PHP의 include/require 문에서 파일 이름을 부적절하게 제어할 수 있으며, 이를 통해 원격 공격이 가능합니다. 현재 해당 공격 코드가 공개되어 있어 주의가 필요합니다.
💡 쉬운 설명
웹사이트 관리자 페이지의 특정 주소를 조작하여 공격자가 원하는 악성 파일을 서버에서 실행하게 만들 수 있는 결함입니다. 해커가 멀리 떨어진 곳에서도 시스템에 침입할 수 있어 위험합니다.
🇺🇸 원문 (English)
A vulnerability was detected in SourceCodester Online Book Store System 1.0. The affected element is an unknown function of the file /admin/index.php of the component Administrative Interface. Performing a manipulation of the argument page results in improper control of filename for include/require statement in php program. It is possible to initiate the attack remotely. The exploit is now public and may be used.
📍 영향받는 시스템
SourceCodester Online Book Store System 1.0
⚔️ 공격 벡터
원격에서 'page' 파라미터 조작을 통한 파일 포함(File Inclusion) 공격
🛡️ 대응 방법
해당 파일(/admin/index.php)의 입력값 검증 로직을 수정하여 허용된 파일만 호출하도록 제한하거나 시스템을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과로 include 또는 require 문에 사용자 입력값이 직접 포함된 코드가 출력되면 취약한 상태입니다.
grep -r "include($_GET\[['"]?page['"]?)" /var/www/html/admin/index.php