🇰🇷 한글 설명
Ajax File and Image Manager, TinyMCE, phpMyFAQ 등에서 inc/function.base.php의 정적 코드 주입 취약점입니다. 공격자가 특정 매개변수를 조작하여 data.php에 임의의 PHP 코드를 주입함으로써 원격 코드 실행이 가능합니다.
💡 쉬운 설명
파일 관리자와 에디터 도구에서 입력값을 제대로 검증하지 않아 악성 코드가 주입될 수 있습니다. 공격자가 이를 이용해 서버에서 임의의 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
Static code injection vulnerability in inc/function.base.php in Ajax File and Image Manager before 1.1, as used in tinymce before 1.4.2, phpMyFAQ 2.6 before 2.6.19 and 2.7 before 2.7.1, and possibly other products, allows remote attackers to inject arbitrary PHP code into data.php via crafted parameters.
📍 영향받는 시스템
Ajax File and Image Manager <1.1, TinyMCE <1.4.2, phpMyFAQ 2.6 <2.6.19, phpMyFAQ 2.7 <2.7.1
⚔️ 공격 벡터
특정 매개변수를 통해 data.php로 PHP 코드 주입 (원격 공격)
🛡️ 대응 방법
영향받는 제품을 최신 버전으로 즉시 업그레이드 (Ajax File Manager 1.1+, TinyMCE 1.4.2+, phpMyFAQ 2.6.19+ 또는 2.7.1+)
🔧 검증 코드
해당 파일 발견 시 설치된 제품의 버전을 확인하여 권장 버전 이상으로 업그레이드되었는지 확인합니다.
find / -name 'function.base.php' -type f 2>/dev/null | xargs ls -lZ 2>/dev/null