🇰🇷 한글 설명
PHP 프로그램의 include/require 문에서 파일명 제어 부족으로 인한 취약점으로, 공격자가 악의적인 파일을 포함하도록 유도할 수 있습니다. EduBlink Core 2.0.7 이하 버전에서 로컬 파일 포함(LFI) 공격이 가능합니다.
💡 쉬운 설명
웹사이트가 사용자가 입력한 파일명을 검증 없이 로드하려고 할 때 발생하는 보안 결함입니다. 공격자는 이를 악용하여 서버의 민감한 파일(비밀번호, 설정 정보 등)을 읽을 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in DevsBlink EduBlink Core edublink-core allows PHP Local File Inclusion.This issue affects EduBlink Core: from n/a through <= 2.0.7.
📍 영향받는 시스템
EduBlink Core version <= 2.0.7
⚔️ 공격 벡터
HTTP 파라미터를 조작하여 PHP의 include/require 함수가 서버의 임의 파일을 로드하도록 유도
🛡️ 대응 방법
EduBlink Core를 버전 2.0.8 이상으로 업그레이드하거나, include/require 호출 시 파일명 화이트리스트 검증 구현
🔧 검증 코드
출력된 버전이 2.0.7 이하면 취약점이 있으며, 2.0.8 이상이면 패치된 상태입니다. 결과가 없으면 해당 시스템에 EduBlink Core가 설치되지 않은 것입니다.
grep -r '"version"' /var/www --include='composer.json' 2>/dev/null | grep edublink | head -1