🇰🇷 한글 설명
dan_fisher의 Alchemists 패키지에서 PHP 파일 포함 문장의 파일명 제어가 미흡하여 발생하는 취약점입니다. 공격자는 이를 악용하여 로컬 또는 원격 파일을 PHP 코드로 포함시켜 실행할 수 있습니다. CVSS 8.1은 높은 심각도 수준입니다.
💡 쉬운 설명
Alchemists 프로그램이 어떤 파일을 불러올지를 제대로 확인하지 않아서, 악의적인 사용자가 자신의 악성 파일을 불러오게 할 수 있습니다. 이를 통해 서버에서 원하지 않는 명령어를 실행하거나 중요한 정보를 유출당할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in dan_fisher Alchemists alchemists allows PHP Local File Inclusion.This issue affects Alchemists: from n/a through <= 4.6.0.
📍 영향받는 시스템
dan_fisher Alchemists <= 4.6.0
⚔️ 공격 벡터
파일 포함 파라미터 조작을 통해 로컬 또는 원격 PHP 파일 실행
🛡️ 대응 방법
Alchemists를 4.6.1 이상으로 업그레이드하고 입력값 검증을 강화
🔧 검증 코드
설치된 Alchemists 버전을 확인하여 4.6.0 이하면 업그레이드 필요
find / -name 'alchemists*' -o -name 'composer.lock' 2>/dev/null | xargs grep -i 'alchemists' | grep -oP 'version[":]*\s*[":]?\K[0-9.]+' | head -1