🇰🇷 한글 설명
MyCMS 0.9.8 이하에서 score 파라미터와 login 쿠키를 통해 _score.txt와 _setby.txt 파일에 PHP 코드를 직접 주입할 수 있는 취약점입니다. games.php에 포함되어 원격 공격자가 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
MyCMS 웹사이트 시스템에서 악의적인 사용자가 나쁜 코드를 삽입하여 서버를 제어할 수 있는 문제입니다. 게임 점수 관련 기능과 로그인 정보를 통해 공격이 가능합니다.
🇺🇸 원문 (English)
Multiple direct static code injection vulnerabilities in MyCMS 0.9.8 and earlier allow remote attackers to inject arbitrary PHP code into (1) a _score.txt file via the score parameter, or (2) a _setby.txt file via a login cookie, which is then included by games.php. NOTE: programs that use games.php might include (a) snakep.php, (b) tetrisp.php, and possibly other site-specific files.
📍 영향받는 시스템
MyCMS 0.9.8 이하 모든 버전
⚔️ 공격 벡터
score 파라미터 또는 login 쿠키를 통한 PHP 코드 인젝션
🛡️ 대응 방법
MyCMS를 최신 버전으로 업그레이드 또는 공식 패치 적용
🔧 검증 코드
games.php 파일이 발견되면 MyCMS가 설치되어 있는 것이며, 버전을 확인하여 0.9.8 이하인지 확인하세요.
find / -name 'games.php' -path '*mycms*' 2>/dev/null | head -1