🇰🇷 한글 설명
Parallels Plesk Small Business Panel 10.2.0의 Site Editor 기능에서 SQL injection 취약점이 발견되었습니다. 원격 공격자는 Wizard/Edit/Html 등 PHP 스크립트에 악의적인 입력을 전송하여 데이터베이스에 임의의 SQL 명령어를 실행할 수 있습니다. 이를 통해 민감한 정보 유출, 데이터 변조, 시스템 제어권 탈취 등이 가능합니다.
💡 쉬운 설명
Plesk 호스팅 관리 패널의 사이트 편집 기능에서 보안 검증이 부족하여 공격자가 악의적인 명령어로 데이터베이스를 조작할 수 있습니다. 인증 없이 원격에서 공격 가능하며 심각한 데이터 침해로 이어질 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in the Site Editor (aka SiteBuilder) feature in Parallels Plesk Small Business Panel 10.2.0 allow remote attackers to execute arbitrary SQL commands via crafted input to a PHP script, as demonstrated by Wizard/Edit/Html and certain other files.
📍 영향받는 시스템
Parallels Plesk Small Business Panel 10.2.0 및 이전 버전
⚔️ 공격 벡터
Wizard/Edit/Html 등 Site Editor PHP 스크립트에 SQL injection payload 포함된 HTTP 요청 전송
🛡️ 대응 방법
10.2.1 이상 최신 보안 패치 버전으로 업그레이드
🔧 검증 코드
Plesk 버전이 10.2.0 이하면 취약함. 10.2.1 이상이면 패치됨. Plesk가 설치되지 않으면 명령어가 결과 없음.
cat /etc/plesk-release 2>/dev/null || rpm -qa | grep plesk-core