🇰🇷 한글 설명
Megacubo 5.0.7의 평가 인젝션 취약점으로, mega:// URI의 play 액션을 통해 원격 공격자가 임의의 PHP 코드를 주입 및 실행할 수 있습니다. 이는 입력 값이 적절히 검증되지 않아 발생합니다.
💡 쉬운 설명
특수하게 만든 주소를 통해 Megacubo 애플리케이션에 악성 프로그램 코드를 몰래 넣을 수 있는 보안 결함입니다. 이를 이용하면 컴퓨터에서 제멋대로 명령을 실행할 수 있게 됩니다.
🇺🇸 원문 (English)
Eval injection vulnerability in Megacubo 5.0.7 allows remote attackers to inject and execute arbitrary PHP code via the play action in a mega:// URI.
📍 영향받는 시스템
Megacubo 5.0.7 및 이전 버전
⚔️ 공격 벡터
특수 구성의 mega:// URI를 play 파라미터로 전달하여 PHP eval() 함수에 코드 주입
🛡️ 대응 방법
Megacubo를 5.0.8 이상으로 업그레이드 또는 입력 검증 패치 적용
🔧 검증 코드
명령어 실행 결과 megacubo 버전이 5.0.7 이하이거나 설치되지 않으면 반환값이 없음 = 안전, 버전이 표시되면 해당 버전이 설치된 것임
which megacubo || npm list -g megacubo 2>/dev/null | grep -E 'megacubo@[0-5]\.[0-0]\.[0-7]'