🇰🇷 한글 설명
YaPIG 0.95b 이하 버전에서 CSRF 취약점을 이용하여 원격 공격자가 관리자를 속여 modify_gallery.php의 mod_info 액션을 실행하도록 할 수 있습니다. 이를 통해 로그인한 사용자 권한으로 갤러리 설정을 무단으로 변경할 수 있습니다.
💡 쉬운 설명
YaPIG 사진 갤러리 프로그램에서 공격자가 속임수로 관리자를 특정 웹페이지로 유도하면 관리자의 권한으로 원하지 않는 작업이 실행됩니다. 갤러리 설정을 마음대로 바꿀 수 있는 보안 결함입니다.
🇺🇸 원문 (English)
Multiple cross-site request forgery (CSRF) vulnerabilities in Yet Another PHP Image Gallery (YaPIG) 0.95b and earlier allow remote attackers to perform unauthorized actions as a logged-in user, as demonstrated by tricking the administrator to access a web page that performs a mod_info action in modify_gallery.php.
📍 영향받는 시스템
Yet Another PHP Image Gallery (YaPIG) 0.95b 이하 모든 버전
⚔️ 공격 벡터
CSRF를 이용해 관리자를 악의적 웹페이지로 유도하여 modify_gallery.php의 mod_info 액션 실행
🛡️ 대응 방법
YaPIG를 최신 보안 패치 버전으로 업그레이드하고 CSRF 토큰 검증 구현
🔧 검증 코드
YaPIG 설치 디렉토리에서 버전 정보를 확인하여 0.95b 이하 버전이면 즉시 업그레이드 필요
grep -r 'version\|VERSION' $(find / -name 'yaPIG*' -o -name '*yapig*' 2>/dev/null | head -1) 2>/dev/null