🇰🇷 한글 설명
CuteNews 1.4.0 이하 버전의 flood protection 기능에서 HTTP_CLIENT_IP 헤더를 통해 PHP 코드가 직접 주입되는 취약점입니다. 공격자는 특별히 조작된 Client-Ip 헤더를 전송하여 data/flood.db.php 파일에 악의적인 코드를 삽입하고 실행할 수 있습니다.
💡 쉬운 설명
CuteNews라는 콘텐츠 관리 시스템에서 방문자 IP를 기록하는 기능이 제대로 검증하지 않습니다. 공격자가 가짜 IP 주소를 보내면 악의적인 코드가 서버에 저장되고 실행될 수 있습니다.
🇺🇸 원문 (English)
Direct static code injection vulnerability in the flood protection feature in inc/shows.inc.php in CuteNews 1.4.0 and earlier allows remote attackers to execute arbitrary PHP code via the HTTP_CLIENT_IP header (Client-Ip), which is injected into data/flood.db.php.
📍 영향받는 시스템
CuteNews 1.4.0 이하 모든 버전
⚔️ 공격 벡터
HTTP_CLIENT_IP 또는 Client-Ip 헤더에 PHP 코드를 주입하여 원격 코드 실행
🛡️ 대응 방법
CuteNews를 1.4.1 이상으로 업그레이드하거나, 즉시 패치를 적용하고 data/flood.db.php 파일에 대한 쓰기 권한 제거
🔧 검증 코드
결과가 없으면 취약점 미존재, 파일이 발견되면 해당 서버에 CuteNews가 설치된 것으로 버전 확인 필요
find /var/www -name 'shows.inc.php' 2>/dev/null | xargs grep -l 'HTTP_CLIENT_IP' 2>/dev/null