🇰🇷 한글 설명
Mozzers SubSystem 1.0의 add.php에 존재하는 정적 코드 주입 취약점으로, Sub-name 또는 Sub-url 필드를 통해 원격 공격자가 PHP 코드를 subs.php 파일에 주입할 수 있습니다. index.php를 통한 add 작업 접근도 가능합니다.
💡 쉬운 설명
웹사이트의 부분 추가 기능에서 악의적인 코드를 삽입할 수 있는 결함이 있습니다. 누구나 인터넷을 통해 서버에 해로운 명령어를 심을 수 있습니다.
🇺🇸 원문 (English)
Static code injection vulnerability in add.php in Mozzers SubSystem 1.0 allows remote attackers to inject PHP code into subs.php via the (1) Sub-name or (2) Sub-url field. NOTE: an earlier report indicated that the add action can be reached through a request to index.php.
📍 영향받는 시스템
Mozzers SubSystem 1.0
⚔️ 공격 벡터
index.php의 add 작업을 통해 Sub-name 또는 Sub-url 파라미터에 PHP 코드를 주입하여 subs.php 파일에 코드 삽입
🛡️ 대응 방법
Mozzers SubSystem을 최신 버전으로 업그레이드하고 입력값 검증 및 sanitization을 모든 form 필드에 적용
🔧 검증 코드
결과가 없으면 시스템에 Mozzers SubSystem이 설치되지 않은 상태이며, 경로가 나타나면 해당 버전 확인 후 업그레이드 필요
find / -name 'add.php' -path '*Mozzers*' 2>/dev/null | head -5