🇰🇷 한글 설명
Yoxel 1.23beta 이하 버전의 itpm_estimate.php에서 proj_id 파라미터를 통한 다중 eval 인젝션 취약점이 존재합니다. 인증된 원격 사용자가 임의의 PHP 코드를 실행할 수 있으며, 서버 전체가 제어될 수 있는 심각한 보안 결함입니다.
💡 쉬운 설명
Yoxel이라는 웹 소프트웨어에서 사용자 입력을 검증하지 않아, 로그인한 사용자가 악의적인 명령어를 삽입하여 웹 서버를 제어할 수 있는 취약점입니다. 공격자가 웹 서버에서 원하는 모든 작업을 수행할 수 있게 됩니다.
🇺🇸 원문 (English)
Multiple eval injection vulnerabilities in itpm_estimate.php in Yoxel 1.23beta and earlier allow remote authenticated users to execute arbitrary PHP code via the proj_id parameter.
📍 영향받는 시스템
Yoxel 1.23beta 및 이전 버전
⚔️ 공격 벡터
itpm_estimate.php의 proj_id 파라미터에 PHP 코드 삽입 후 eval() 함수 실행
🛡️ 대응 방법
Yoxel을 최신 버전으로 업그레이드하거나 proj_id 파라미터를 안전하게 검증/필터링하는 패치 적용
🔧 검증 코드
결과가 출력되면 eval 인젝션 취약점이 있는 Yoxel이 설치된 것이며, 즉시 패치하거나 업그레이드 필요
find /var/www -name 'itpm_estimate.php' -exec grep -l 'eval.*proj_id' {} \; 2>/dev/null