🇰🇷 한글 설명
CuteNews.ru 1.1.1 버전의 plugins/wacko/highlight/html.php 파일에서 text 파라미터가 정규표현식에 직접 삽입되어 원격 공격자가 임의의 PHP 코드를 실행할 수 있는 취약점입니다. 입력값 검증 부재로 인한 코드 인젝션 공격으로, 완전한 서버 장악이 가능합니다.
💡 쉬운 설명
CuteNews 프로그램이 사용자 입력을 제대로 검사하지 않아 악의적인 코드를 실행할 수 있습니다. 해커가 서버를 완전히 장악할 수 있는 심각한 문제입니다.
🇺🇸 원문 (English)
plugins/wacko/highlight/html.php in Strawberry in CuteNews.ru 1.1.1 (aka Strawberry) allows remote attackers to execute arbitrary PHP code via the text parameter, which is inserted into an executable regular expression.
📍 영향받는 시스템
CuteNews.ru 1.1.1 (Strawberry) - plugins/wacko/highlight/html.php
⚔️ 공격 벡터
text 파라미터에 PHP 코드를 포함한 악의적인 정규표현식 문자열을 전송하여 서버 실행
🛡️ 대응 방법
CuteNews를 최신 버전으로 업그레이드하고, 모든 사용자 입력을 검증 및 새니타이제이션 처리 구현
🔧 검증 코드
취약한 파일이 발견되면 해당 버전 확인 후 즉시 업그레이드 필요
find / -name 'html.php' -path '*/wacko/highlight/*' 2>/dev/null | head -5