DedeCMS 5.7 미만 버전 로컬 파일 포함(LFI) 취약점 분석 및 대응 가이드 (CVE-2010-20125)

1. 최신 버전 업그레이드 DedeCMS 공식 홈페이지를 통해 v5.7 이상의 최신 보안 패치가 적용된 버전으로 업데이트하십시오.

2. 임시 완화 조치 (코드 수정) 업데이트가 불가능한 경우, `plus/carbuyaction.php` 파일 상단에 `$code` 변수를 명시적으로 초기화하거나 입력값 검증 로직을 추가해야 합니다.

// plus/carbuyaction.php 수정 예시
$code = isset($code) ? preg_replace('/[^a-z0-9]/i', '', $code) : 'default';
if (!file_exists(DEDEPAY."/payment/{$code}.php")) {
    exit('Invalid Payment Method');
}

3. WAF(웹 방화벽) 설정 경로 조작 공격을 차단하기 위해 다음과 같은 패턴을 탐지 규칙에 추가하십시오. - `..%2f`, `..%5c`, `../../` 등 상위 디렉토리 접근 패턴 차단

본 취약점은 DedeCMS의 plus/carbuyaction.php 파일에서 발생하는 로컬 파일 포함(LFI, Local File Inclusion) 취약점입니다. 취약점의 핵심 원인은 PHP의 require_once 함수에 전달되는 $code 변수가 적절히 초기화되지 않은 상태에서 외부 입력값에 의해 제어될 수 있다는 점입니다(CWE-98). 공격자는 URL 파라미터를 통해 ../../와 같은 상위 경로 이동 문자열을 주입함으로써, 결제 관련 디렉토리를 벗어나 /etc/passwd나 데이터베이스 설정 파일 등 서버 내 임의의 로컬 파일을 읽어들일 수 있습니다. 특히 2023년 하반기부터 해당 취약점을 노린 스캐닝 활동이 관측되고 있어, 오래된 버전을 유지 중인 서버는 즉각적인 조치가 필요합니다.