🇰🇷 한글 설명
Walter Beschmout PhpQuiz 1.2 및 이전 버전의 back/upload_img.php와 admin/upload_img.php에서 제한 없는 파일 업로드 취약점이 발견되었습니다. 원격 공격자는 특정 파라미터를 통해 phpquiz/img_quiz 폴더에 임의의 PHP 코드를 업로드할 수 있으며, 이때 경로 탐색(Directory Traversal) 기법이 사용될 수 있습니다.
💡 쉬운 설명
이미지 업로드 기능을 악용해 해커가 서버에 악성 프로그램을 몰래 올릴 수 있는 취약점입니다. 이를 통해 해커가 서버를 원격으로 제어할 수 있게 됩니다.
🇺🇸 원문 (English)
Multiple unrestricted file upload vulnerabilities in (1) back/upload_img.php and (2) admin/upload_img.php in Walter Beschmout PhpQuiz 1.2 and earlier allow remote attackers to upload arbitrary PHP code to the phpquiz/img_quiz folder via the (a) upload, (b) ok_update, (c) image, and (d) path parameters, possibly requiring directory traversal sequences in the path parameter.
📍 영향받는 시스템
Walter Beschmout PhpQuiz 1.2 및 이전 버전
⚔️ 공격 벡터
HTTP 요청 파라미터를 이용한 악성 PHP 파일 업로드 및 경로 탐색
🛡️ 대응 방법
최신 버전으로 업데이트하거나, 서버 측에서 업로드 파일의 확장자 검증 및 경로 제한 설정을 적용하십시오.
🔧 검증 코드
명령어 실행 결과 PhpQuiz 1.2 이하 버전 문자열이 검색되면 취약한 버전이 설치된 것입니다.
grep -r "PhpQuiz" /var/www/html/ | grep -E "1\.[0-2]"