🇰🇷 한글 설명
ShoutPro 1.5.2의 shoutbox.php 파일에서 shout 파라미터를 통해 임의의 PHP 코드를 직접 주입할 수 있는 취약점입니다. 원격 공격자는 인증 없이 악의적인 코드를 실행시켜 서버를 완전히 제어할 수 있습니다.
💡 쉬운 설명
ShoutPro의 댓글 기능에서 공격자가 해킹 코드를 숨겨서 보낼 수 있는 결함입니다. 이를 악용하면 웹서버가 공격자의 명령을 그대로 실행하게 됩니다.
🇺🇸 원문 (English)
Direct static code injection vulnerability in shoutbox.php in ShoutPro 1.5.2 allows remote attackers to inject arbitrary PHP code into shouts.php via the shout parameter.
📍 영향받는 시스템
ShoutPro 버전 1.5.2 이하
⚔️ 공격 벡터
shout 파라미터에 PHP 코드를 포함시킨 HTTP 요청을 전송하여 원격 코드 실행
🛡️ 대응 방법
ShoutPro를 최신 버전으로 업그레이드하거나 입력값에 대한 철저한 검증 및 이스케이프 처리 적용
🔧 검증 코드
ShoutPro가 설치되어 있으면 shoutbox.php 경로를 표시하고, 파일이 없으면 해당 버전이 설치되지 않음을 의미합니다.
find / -name 'shoutbox.php' 2>/dev/null | head -5