🇰🇷 한글 설명
uxper Golo 라이브러리 1.7.5 미만 버전에서 PHP 파일 포함 문장의 파일명 제어가 부적절하여 발생하는 취약점입니다. 공격자가 악의적으로 조작된 입력을 통해 임의의 로컬 파일을 포함시킬 수 있으며, 이를 통해 시스템 설정 파일, 소스 코드, 데이터베이스 자격증명 등 민감한 정보에 접근할 수 있습니다.
💡 쉬운 설명
웹 애플리케이션이 사용자 입력을 검증하지 않은 채로 PHP 파일을 불러올 때, 공격자가 원하는 다른 파일을 불러오도록 속일 수 있는 취약점입니다. 이를 통해 서버의 중요한 정보 파일을 읽어낼 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in uxper Golo golo allows PHP Local File Inclusion.This issue affects Golo: from n/a through < 1.7.5.
📍 영향받는 시스템
uxper Golo < 1.7.5
⚔️ 공격 벡터
사용자 입력 매개변수를 조작하여 include/require 함수의 파일 경로를 변조, 로컬 시스템 파일 접근
🛡️ 대응 방법
Golo를 1.7.5 이상 버전으로 즉시 업그레이드
🔧 검증 코드
composer.lock에서 Golo 버전이 1.7.5 이상인지 확인, 버전이 1.7.5 미만이면 취약함
grep -r 'uxper.*golo' composer.lock 2>/dev/null | grep -oE '"version": "[^"]+"' | head -1