🇰🇷 한글 설명
Bitweaver 2.0.0 이하 버전의 wiki/index.php에 존재하는 직접 정적 코드 주입 취약점으로, 댓글 기능이 활성화된 상태에서 editcomments 작업을 통해 원격 공격자가 임의의 PHP 코드를 주입할 수 있습니다. 이는 웹 서버의 완전한 제어로 이어질 수 있는 심각한 취약점입니다.
💡 쉬운 설명
Bitweaver 위키 소프트웨어의 댓글 기능에서 해커가 악의적인 프로그램 코드를 직접 심을 수 있는 보안 구멍입니다. 이를 악용하면 서버 전체가 장악될 수 있습니다.
🇺🇸 원문 (English)
Direct static code injection vulnerability in wiki/index.php in Bitweaver 2.0.0 and earlier, when comments are enabled, allows remote attackers to inject arbitrary PHP code via an editcomments action.
📍 영향받는 시스템
Bitweaver 2.0.0 이하 모든 버전 (댓글 활성화 상태)
⚔️ 공격 벡터
editcomments 파라미터를 통해 wiki/index.php로 PHP 코드를 직접 주입하는 HTTP 요청 전송
🛡️ 대응 방법
Bitweaver를 2.0.1 이상으로 업그레이드하거나 댓글 기능을 비활성화하고 입력 필터링 적용
🔧 검증 코드
파일이 발견되면 취약한 Bitweaver 2.0.0 버전 설치된 것으로 즉시 업그레이드 필요, 없으면 업그레이드됨 또는 미설치
find /var/www -name 'index.php' -path '*/wiki/*' 2>/dev/null | xargs grep -l 'Bitweaver.*2\.0\.[0-0]' 2>/dev/null || echo 'Not vulnerable or not installed'