🇰🇷 한글 설명
CutePHP CuteNews 1.4.6 및 UTF-8 CuteNews 8b 이전 버전의 Categories 모듈에서 정적 코드 주입 취약점이 존재합니다. 관리자 권한을 가진 인증된 사용자가 Category Access 필드를 통해 data/category.db.php 파일에 임의의 PHP 코드를 주입할 수 있으며, 이로 인해 서버에서 악의적인 코드가 실행될 수 있습니다.
💡 쉬운 설명
CuteNews 관리자가 카테고리 설정에서 악성 코드를 삽입할 수 있는 보안 결함입니다. 이를 통해 공격자가 웹 서버 전체를 장악하고 데이터를 탈취하거나 조작할 수 있게 됩니다.
🇺🇸 원문 (English)
Static code injection vulnerability in the Categories module in CutePHP CuteNews 1.4.6 and UTF-8 CuteNews before 8b allows remote authenticated users with application administrative privileges to inject arbitrary PHP code into data/category.db.php via the Category Access field.
📍 영향받는 시스템
CutePHP CuteNews 1.4.6, UTF-8 CuteNews 버전 8b 이전
⚔️ 공격 벡터
관리자 계정으로 로그인하여 카테고리 관리 페이지의 Category Access 필드에 PHP 코드를 입력하여 실행
🛡️ 대응 방법
CuteNews를 최신 보안 패치 버전으로 즉시 업그레이드하고 관리자 계정 접근 제어 강화
🔧 검증 코드
CuteNews 설치 디렉토리를 찾아 버전 정보를 확인하여 1.4.6 또는 8b 이하 버전인지 판단
find /var/www/html -type f -name '*.php' -path '*/cutenews/*' 2>/dev/null | xargs grep -l 'version' | head -1