🇰🇷 한글 설명
Drupal의 Fill PDF 모듈 6.x-1.16 이전 및 7.x-1.2 이전 버전의 fillpdf_form_export_decode 함수에 Eval Injection 취약점이 존재합니다. PDF 관리 권한을 가진 원격 인증 사용자가 이 취약점을 통해 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
Drupal 웹사이트의 Fill PDF 기능에서 사용자 입력이 충분히 검증되지 않는 문제가 있습니다. PDF 관리 권한이 있는 사용자가 악의적인 코드를 삽입하여 웹 서버를 완전히 제어할 수 있습니다.
🇺🇸 원문 (English)
Eval injection vulnerability in the fillpdf_form_export_decode function in fillpdf.admin.inc in the Fill PDF module 6.x-1.x before 6.x-1.16 and 7.x-1.x before 7.x-1.2 for Drupal allows remote authenticated users with administer PDFs privileges to execute arbitrary PHP code via unspecified vectors. NOTE: Some of these details are obtained from third party information.
📍 영향받는 시스템
Drupal Fill PDF 모듈 6.x-1.x (버전 6.x-1.16 이전), 7.x-1.x (버전 7.x-1.2 이전)
⚔️ 공격 벡터
PDF 관리 권한(administer PDFs)을 가진 인증된 사용자가 fillpdf_form_export_decode 함수를 통해 PHP 코드를 주입
🛡️ 대응 방법
Fill PDF 모듈을 6.x-1.16 이상 또는 7.x-1.2 이상으로 즉시 업그레이드하고, PDF 관리 권한 부여를 최소화
🔧 검증 코드
명령어가 version 6.x-1.16 이상 또는 7.x-1.2 이상을 출력하면 패치됨, 이전 버전이면 즉시 업그레이드 필요
find /var/www -name 'fillpdf.info' 2>/dev/null | xargs grep '^version' 2>/dev/null | head -1