🇰🇷 한글 설명
ACal Calendar Project 2.2.5의 edit.php에서 정적 코드 주입 취약점이 발견되었습니다. 인증된 사용자가 edit 파라미터를 통해 header.php 또는 footer.php 파일을 수정하여 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 웹사이트의 설정 파일을 마음대로 수정해 악성 코드를 심을 수 있는 문제입니다. 이를 통해 공격자가 서버의 제어권을 획득할 수 있습니다.
🇺🇸 원문 (English)
Direct static code injection vulnerability in edit.php in ACal Calendar Project 2.2.5 allows authenticated users to execute arbitrary PHP code via (1) the edit=header value, which modifies header.php, or (2) the edit=footer value, which modifies footer.php. NOTE: this issue might be resultant from the poor authentication as identified by CVE-2006-0182. Since the design of the product allows the administrator to edit the code, perhaps this issue should not be included in CVE, except as a consequence of CVE-2006-0182.
📍 영향받는 시스템
ACal Calendar Project 2.2.5
⚔️ 공격 벡터
인증된 사용자가 edit.php의 edit 파라미터에 악성 PHP 코드를 삽입하여 서버 파일을 수정
🛡️ 대응 방법
최신 버전으로 업데이트하거나, 서버 내 PHP 파일의 쓰기 권한을 제한하고 인증 메커니즘을 강화하십시오.
🔧 검증 코드
명령어 실행 결과 버전 정보에 2.2.5가 포함되어 있다면 취약한 버전입니다.
grep -r '2.2.5' . | grep -i 'version'