🇰🇷 한글 설명
X-Cart 3.4.3 버전에서 원격 공격자가 mode 파라미터를 통해 민감한 정보를 획득할 수 있는 취약점입니다. phpinfo 또는 perlinfo 명령을 통해 서버의 내부 설정 정보가 외부로 노출될 수 있습니다.
💡 쉬운 설명
웹사이트 주소에 특정 명령어를 입력하면 서버의 내부 설정 정보가 화면에 그대로 출력되는 문제입니다. 공격자는 이 정보를 이용해 서버의 추가적인 약점을 찾아낼 수 있습니다.
🇺🇸 원문 (English)
X-Cart 3.4.3 allows remote attackers to gain sensitive information via a mode parameter with (1) phpinfo command or (2) perlinfo command.
⚔️ 공격 벡터
HTTP 요청의 mode 파라미터에 phpinfo 또는 perlinfo 값을 전달하여 실행
🛡️ 대응 방법
X-Cart를 최신 버전으로 업데이트하거나 mode 파라미터의 입력값에 대한 검증 로직을 추가하십시오.
🔧 검증 코드
명령어 실행 결과에 X-Cart 3.4.3 버전 정보가 나타나면 취약한 버전이 설치된 것입니다.
grep -r 'X-Cart' /var/www/html | grep '3.4.3'