🇰🇷 한글 설명
Szymon Kosok Best Top List의 banner-upload.php에 존재하는 제한되지 않은 파일 업로드 취약점으로, 원격 공격자가 banners/ 디렉토리에 임의의 PHP 파일을 업로드하고 실행할 수 있습니다. 이를 통해 공격자는 웹 서버 권한으로 PHP 코드를 실행하여 시스템 제어권을 획득할 수 있습니다.
💡 쉬운 설명
웹사이트의 파일 업로드 기능이 파일 형식을 확인하지 않아, 공격자가 악성 PHP 프로그램을 업로드할 수 있습니다. 업로드된 파일이 웹서버에서 실행되면서 사이트가 해킹됩니다.
🇺🇸 원문 (English)
Unrestricted file upload vulnerability in banner-upload.php in Szymon Kosok Best Top List allows remote attackers to upload and execute arbitrary PHP files in banners/.
📍 영향받는 시스템
Szymon Kosok Best Top List (모든 버전)
⚔️ 공격 벡터
banner-upload.php로 인증 없이 HTTP POST 요청을 통해 임의 파일 업로드
🛡️ 대응 방법
보안 패치 적용 또는 파일 확장자 화이트리스트, MIME 타입 검증, 웹루트 외부 저장소 사용
🔧 검증 코드
banner-upload.php 파일이 발견되면 해당 버전을 CVE 데이터베이스와 비교하여 취약성 확인
find /var/www -name 'banner-upload.php' 2>/dev/null || find /home -name 'banner-upload.php' 2>/dev/null