Gibbon v25.0.0 - ローカルファイルインクルージョン - CVE-2023-34598

Gibbon v25.0.0 は、ローカルファイルインクルージョン（LFI）の脆弱性の影響を受けます。この脆弱性により、インストールフォルダ内に存在する複数のファイルの内容をサーバーのレスポンスに含めることが可能になります。

概念実証

この脆弱性を悪用するには、攻撃者は "q" パラメータを操作してローカルファイルを照会する必要があります。この操作により、ファイルがサーバーのレスポンスに含まれることになります。ただし、このエクスプロイトが有効なのは、インストールフォルダ内に存在するファイルのみで、特定の条件下に限られることに注意が必要です。例えば、PHPファイルは対象外です。

http://gibbon.local/q=./file

ベンダー情報:

名前: Gibbon URL: https://gibbonedu.org GitHub リポジトリ: https://github.com/GibbonEdu/core