🇰🇷 한글 설명
CuteNews 1.3.6 및 이전 버전에서 발생하는 직접적인 코드 주입 취약점입니다. 관리자 권한을 가진 원격 공격자가 템플릿(.tpl) 파일에 주입되는 특정 입력을 통해 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
관리자 계정을 가진 사람이 웹사이트 설정 파일에 몰래 악성 명령어를 심을 수 있는 문제입니다. 이를 통해 서버의 제어권을 완전히 획득할 수 있습니다.
🇺🇸 원문 (English)
Direct code injection vulnerability in CuteNews 1.3.6 and earlier allows remote attackers with administrative privileges to execute arbitrary PHP code via certain inputs that are injected into a template (.tpl) file.
📍 영향받는 시스템
CuteNews 1.3.6 및 이전 버전
⚔️ 공격 벡터
관리자 권한을 이용한 템플릿(.tpl) 파일 내 PHP 코드 주입
🛡️ 대응 방법
CuteNews를 최신 버전으로 업데이트하거나 입력값에 대한 엄격한 검증 로직을 적용하십시오.
🔧 검증 코드
명령어 실행 결과로 1.3.6 이하의 버전 정보가 출력되면 취약한 버전이 설치된 것입니다.
grep -r 'CuteNews' /var/www/html/ | grep -E '1\.[0-9]\.[0-6]'