🇰🇷 한글 설명
Flight PHP 프레임워크의 기본 오류 핸들러가 디버그 게이팅 없이 예외 메시지, 스택 트레이스, 절대 경로를 HTTP 500 응답에 직접 노출함. 공격자가 서버 내부 구조, 파일 경로, 임베딩된 비밀 정보를 수집하여 LFI 등 추가 공격을 연쇄 가능.
💡 쉬운 설명
Flight이라는 웹 프로그래밍 도구에서 에러가 날 때 서버 내부 정보가 사용자 화면에 그대로 노출됨. 공격자가 이 정보로 서버 구조와 보안 약점을 파악할 수 있음.
🇺🇸 원문 (English)
Flight is an extensible micro-framework for PHP. Prior to 3.18.1, the default error handler Engine::_error() writes the full exception message, exception code, and stack trace (including absolute filesystem paths) directly into the HTTP 500 response, with no debug gating. Production deployments leak internal paths, any secret interpolated into an exception message, and full module structure — giving attackers primitives for chaining other weaknesses (LFI, path traversal). This vulnerability is fixed in 3.18.1.
📍 영향받는 시스템
Flight PHP Framework < 3.18.1
⚔️ 공격 벡터
HTTP 500 오류 응답 페이지 접근 시 스택 트레이스와 절대 파일 경로 정보 공개
🛡️ 대응 방법
Flight을 3.18.1 이상으로 업그레이드하고 프로덕션 환경에서 디버그 모드 비활성화
🔧 검증 코드
버전이 3.18.1 이상으로 표시되면 안전함. 더 낮은 버전이거나 명령어 실패 시 업그레이드 필요.
composer show flight/engine 2>/dev/null | grep version