🇰🇷 한글 설명
webSPELL의 squad 추가 기능에서 제한되지 않은 파일 업로드 취약점으로, 원격 인증된 관리자가 임의의 PHP 코드를 업로드하고 실행할 수 있습니다. 관리자 권한이 필요하므로 내부 위협에 해당하며, 의도된 기능일 가능성도 있습니다.
💡 쉬운 설명
webSPELL이라는 웹사이트 관리 프로그램에서 관리자가 팀 추가 기능을 통해 악의적인 프로그램을 업로드할 수 있는 문제입니다. 관리자 계정이 필요하므로 신뢰할 수 없는 관리자를 조심해야 합니다.
🇺🇸 원문 (English)
Unrestricted file upload vulnerability in webSPELL allows remote authenticated administrators to upload and execute arbitrary PHP code via the add squad feature. NOTE: this issue may be an administrative feature, in which case this CVE may be REJECTED.
📍 영향받는 시스템
webSPELL (특정 버전 미명시, 이전 버전들)
⚔️ 공격 벡터
원격 인증된 관리자가 squad 추가 기능을 통해 PHP 파일 업로드
🛡️ 대응 방법
webSPELL을 최신 버전으로 업그레이드하거나 관리자 권한 접근 제한 및 파일 업로드 검증 추가
🔧 검증 코드
시스템에 webSPELL이 설치되어 있으면 경로가 표시되며, 설치 경로로 이동하여 버전 정보 파일 확인 필요
find / -name 'webspell*' -o -name '*webspell*' 2>/dev/null | head -5