🇰🇷 한글 설명
PHP 프로그램의 Include/Require 명령문에 대한 부적절한 파일명 제어 취약점으로, G5Theme Handmade Framework에서 PHP 로컬 파일 포함(LFI) 공격을 허용합니다. 버전 3.9 이하에 영향을 미치며, 공격자가 악의적으로 조작된 파일명을 통해 서버의 민감한 파일에 접근할 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자가 보낸 파일 경로를 제대로 검증하지 않아서, 공격자가 서버의 숨겨진 파일을 읽을 수 있는 문제입니다. 설정 파일, 비밀번호, 개인정보 등이 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in G5Theme Handmade Framework handmade-framework allows PHP Local File Inclusion.This issue affects Handmade Framework: from n/a through <= 3.9.
📍 영향받는 시스템
G5Theme Handmade Framework <= 3.9
⚔️ 공격 벡터
HTTP 요청의 파라미터 조작을 통해 ../ 경로 표기법 또는 파일 경로를 삽입하여 원격에서 로컬 파일 접근
🛡️ 대응 방법
Handmade Framework를 3.10 이상으로 업그레이드하고, 파일 경로 입력에 대한 엄격한 화이트리스트 검증 적용
🔧 검증 코드
현재 시스템에서 include/require를 사용하는 PHP 파일을 찾아 코드 리뷰를 통해 사용자 입력의 경로 검증 여부 확인
find /var/www -name '*.php' -type f -exec grep -l 'include\|require' {} \; 2>/dev/null | head -20