🇰🇷 한글 설명
MediaWiki 1.5.3 이전 버전의 사용자 언어 옵션 설정에서 발생하는 eval injection 취약점입니다. 사용자가 입력한 언어 옵션 값이 동적 클래스 이름으로 사용되어 eval 함수에 의해 처리되므로 원격 공격자가 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트 설정에서 언어를 선택할 때 악의적인 코드를 몰래 집어넣을 수 있습니다. 이 코드가 실행되면 공격자가 서버를 완전히 제어할 수 있게 됩니다.
🇺🇸 원문 (English)
Eval injection vulnerability in MediaWiki 1.5.x before 1.5.3 allows remote attackers to execute arbitrary PHP code via the "user language option," which is used as part of a dynamic class name that is processed using the eval function.
📍 영향받는 시스템
MediaWiki 1.5.0, 1.5.1, 1.5.2
⚔️ 공격 벡터
사용자 프로필의 언어 옵션 필드에 PHP 코드를 주입하여 서버에서 실행
🛡️ 대응 방법
MediaWiki를 1.5.3 이상 버전으로 즉시 업그레이드
🔧 검증 코드
반환된 버전이 1.5.3 이상이면 안전, 1.5.2 이하면 즉시 업그레이드 필요
grep -h "wgVersion\|MW_VERSION" /var/www/mediawiki/includes/DefaultSettings.php 2>/dev/null | head -1