🇰🇷 한글 설명
FlatNuke 2.5.1의 url_avatar 필드에서 발생하는 직접 코드 주입 취약점입니다. 원격 공격자가 악의적인 PHP 코드를 url_avatar 매개변수에 삽입하여 서버에서 임의의 PHP 코드를 실행할 수 있습니다. 이는 전체 웹 애플리케이션 침해로 이어질 수 있습니다.
💡 쉬운 설명
웹사이트의 사용자 아바타 URL을 입력받는 부분에서 검증 없이 악성 코드를 받아들여 실행하는 보안 결함입니다. 공격자가 이 부분을 악용하면 웹서버를 완전히 제어할 수 있습니다.
🇺🇸 원문 (English)
Direct code injection vulnerability in FlatNuke 2.5.1 allows remote attackers to execute arbitrary PHP code by placing the code into the url_avatar field.
📍 영향받는 시스템
FlatNuke 버전 2.5.1 및 이전 버전
⚔️ 공격 벡터
url_avatar 필드에 PHP 코드를 직접 삽입하여 원격 코드 실행
🛡️ 대응 방법
FlatNuke를 2.5.2 이상으로 업그레이드하거나 url_avatar 입력값에 대한 엄격한 검증/필터링 적용
🔧 검증 코드
FlatNuke 설치 디렉토리에서 url_avatar 관련 코드를 찾아 취약한 버전 확인; 결과가 없으면 설치되지 않은 상태
grep -r 'url_avatar' /var/www/html/flatnuke/ 2>/dev/null | grep -v '.bak'