🇰🇷 한글 설명
Stefan Ernst Newsscript (WM-News) 0.5 beta의 add_go.php 파일에서 다수의 정적 코드 주입 취약점이 발견되었습니다. 원격 공격자가 description, issue, title 등 7가지 매개변수를 통해 임의의 PHP 코드를 실행하고 이를 기사 파일에 저장할 수 있습니다.
💡 쉬운 설명
웹사이트의 게시글 입력창에 일반 텍스트가 아닌 컴퓨터 명령어를 넣어 서버를 해킹하는 취약점입니다. 이를 통해 공격자가 서버의 제어권을 획득하거나 데이터를 조작할 수 있습니다.
🇺🇸 원문 (English)
Multiple direct static code injection vulnerabilities in add_go.php in Stefan Ernst Newsscript (aka WM-News) 0.5 beta allow remote attackers to execute arbitrary PHP code via the (1) description, (2) issue, (3) title, (4) var, (5) name, (6) keywords, and (7) note parameters, which are stored in an article file. NOTE: the original source of this vulnerability is unknown; the details are obtained from third party information and CVE post-disclosure analysis.
📍 영향받는 시스템
Stefan Ernst Newsscript (WM-News) 0.5 beta
⚔️ 공격 벡터
HTTP 요청을 통해 add_go.php의 취약한 매개변수에 악성 PHP 코드를 주입
🛡️ 대응 방법
입력값 검증 및 필터링 로직을 구현하여 코드 삽입을 차단하거나 보안 패치가 적용된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
add_go.php 파일이 검색된다면 해당 소프트웨어가 설치된 것이므로 버전 확인 및 보안 점검이 필요합니다.
find /var/www/html -name 'add_go.php' 2>/dev/null