🇰🇷 한글 설명
PHProjekt 4.2.1 이하의 setup.php에 인증 검증이 부재하여 원격 공격자가 시스템 설정을 임의로 수정할 수 있는 취약점입니다. 데이터베이스 접속 정보, 관리자 계정, 보안 설정 등이 변조될 수 있습니다. 웹에서 직접 접근 가능한 설정 파일 보호 부족으로 인한 심각한 보안 결함입니다.
💡 쉬운 설명
PHProjekt 소프트웨어의 설정 페이지가 보호되지 않아 인터넷에서 누구나 접근해 중요 설정을 변경할 수 있습니다. 집의 대문이 잠기지 않은 것처럼 악의적 사용자가 시스템을 임의로 조작할 수 있습니다.
🇺🇸 원문 (English)
The setup routine (setup.php) in PHProjekt 4.2.1 and earlier allows remote attackers to modify system configuration via unknown attack vectors.
📍 영향받는 시스템
PHProjekt 4.2.1 및 이전 모든 버전
⚔️ 공격 벡터
setup.php에 대한 인증 없는 직접 HTTP 요청으로 POST/GET 파라미터를 통해 설정값 변조
🛡️ 대응 방법
PHProjekt를 4.2.2 이상으로 업그레이드하거나 웹 서버 설정으로 setup.php 접근 차단
🔧 검증 코드
setup.php 페이지가 인증 없이 로드되면 취약, 403 Forbidden이나 404 에러가 나면 이미 보호됨
curl -s http://localhost/phprojekt/setup.php 2>/dev/null | grep -E '<title>|setup|configuration' | head -1