🇰🇷 한글 설명
epesi framework 0.8.6 이전 버전에서 갤러리 이미지 업로드 기능의 파일 확장자 검증이 불충분하여, 원격 공격자가 PHP 파일을 업로드하고 서버에서 실행할 수 있는 취약점입니다.
💡 쉬운 설명
사진 업로드 기능에서 실제로 사진인지 확인하지 않아 해커가 PHP 프로그램 파일을 업로드할 수 있습니다. 업로드된 파일이 웹에서 실행되면서 서버 전체를 제어당할 수 있습니다.
🇺🇸 원문 (English)
epesi framework before 0.8.6 does not properly verify file extensions, which allows remote attackers to upload and execute arbitrary PHP code via unspecified vectors involving the gallery images upload feature. NOTE: some of these details are obtained from third party information.
📍 영향받는 시스템
epesi framework < 0.8.6
⚔️ 공격 벡터
갤러리 이미지 업로드 기능을 통해 파일 확장자를 우회하여 PHP 파일 업로드 및 실행
🛡️ 대응 방법
epesi framework를 0.8.6 이상으로 업그레이드하고 파일 확장자 및 MIME 타입 검증 강화
🔧 검증 코드
epesi 설치 경로에서 버전 파일을 찾아 현재 버전이 0.8.6 이상인지 확인하세요. 0.8.6 미만이면 업그레이드 필요합니다.
find /path/to/epesi -name 'version*.php' -o -name 'VERSION' | xargs grep -i 'version' 2>/dev/null | head -1