🇰🇷 한글 설명
phpGraphy 0.9.11 이전 버전에서 index.php의 editwelcome 파라미터에 대한 인증 검증 부재로 인해 공격자가 관리자 권한을 획득할 수 있습니다. 이를 통해 임의의 HTML과 자바스크립트를 웹페이지에 주입하여 XSS 공격을 수행할 수 있습니다.
💡 쉬운 설명
phpGraphy 웹사이트에서 로그인 없이 특정 주소로 접근하면 관리자 권한을 얻을 수 있는 보안 허점입니다. 공격자가 이를 이용하면 악성 코드를 웹사이트에 삽입할 수 있습니다.
🇺🇸 원문 (English)
phpGraphy 0.9.11 and earlier allows remote attackers to bypass authentication and gain administrator privileges via a direct request to index.php with the editwelcome parameter set to 1, which can then be used to modify the main page to inject arbitrary HTML and web script. NOTE: XSS attacks are resultant from this issue, since normal functionality allows the admin to modify pages.
📍 영향받는 시스템
phpGraphy 0.9.11 이전 모든 버전
⚔️ 공격 벡터
index.php?editwelcome=1로 직접 접근하여 인증 우회 후 관리자 페이지 수정 권한 획득
🛡️ 대응 방법
phpGraphy를 최신 버전으로 업그레이드하거나 editwelcome 파라미터에 대한 인증 제어 구현
🔧 검증 코드
phpGraphy가 설치된 경우 버전을 확인하여 0.9.11 이하면 취약합니다.
dpkg -l 2>/dev/null | grep -i phpgrapry