🇰🇷 한글 설명
SocialEngine 2.83 이전 버전에서 템플릿에 대한 쓰기 권한이 부적절하게 설정되어 있습니다. 이로 인해 원격 인증된 관리자가 임의의 PHP 코드를 실행할 수 있는 취약점이 발생합니다.
💡 쉬운 설명
SocialEngine 프로그램의 오래된 버전에서 관리자 권한을 가진 사람이 원하는 프로그램 코드를 넣어서 실행할 수 있습니다. 관리자가 악의적으로 행동하면 서버 전체를 제어할 수 있습니다.
🇺🇸 원문 (English)
SocialEngine (SE) before 2.83 grants certain write privileges for templates, which allows remote authenticated administrators to execute arbitrary PHP code.
📍 영향받는 시스템
SocialEngine 버전 2.83 이전 모든 버전
⚔️ 공격 벡터
인증된 관리자가 템플릿 파일에 PHP 코드를 작성하고 실행시키는 방식
🛡️ 대응 방법
SocialEngine을 버전 2.83 이상으로 업그레이드하거나 템플릿 파일 쓰기 권한을 제한합니다.
🔧 검증 코드
설치된 SocialEngine의 경로와 버전을 확인한 후, version.php 또는 버전 파일에서 버전 번호를 확인하여 2.83 미만인지 검증합니다.
find / -name '*socialengine*' -o -name '*engine*' 2>/dev/null | head -5