🇰🇷 한글 설명
Drupal의 CKEditor 모듈에서 PHP 모듈이 활성화된 경우, 텍스트 필터의 text 매개변수를 통해 원격 공격자가 임의의 PHP 코드를 실행할 수 있는 취약점입니다. 인증된 사용자 또는 미인증 공격자가 악의적인 PHP 코드를 삽입하여 서버를 완전히 제어할 수 있습니다.
💡 쉬운 설명
Drupal 웹사이트의 CKEditor 플러그인에 보안 구멍이 있어서 공격자가 서버의 PHP 코드를 실행할 수 있습니다. 이를 통해 웹사이트의 모든 데이터를 탈취, 수정, 또는 삭제할 수 있습니다.
🇺🇸 원문 (English)
Unspecified vulnerability in the CKeditor module 6.x-2.x before 6.x-2.3 and the CKEditor module 6.x-1.x before 6.x-1.9 and 7.x-1.x before 7.x-1.7 for Drupal, when the core PHP module is enabled, allows remote authenticated users or remote attackers to execute arbitrary PHP code via the text parameter to a text filter. NOTE: some of these details are obtained from third party information.
📍 영향받는 시스템
Drupal CKeditor 6.x-2.0~2.2, 6.x-1.0~1.8, 7.x-1.0~1.6 (PHP 모듈 활성화 시)
⚔️ 공격 벡터
텍스트 필터의 text 매개변수에 PHP 코드를 삽입하여 원격 코드 실행
🛡️ 대응 방법
CKeditor 모듈을 6.x-2.3, 6.x-1.9, 7.x-1.7 이상으로 업데이트
🔧 검증 코드
버전이 6.x-2.3, 6.x-1.9, 7.x-1.7 이상이면 안전하고, 그 이하면 취약합니다.
grep version $(find /var/www -path '*/ckeditor.info' 2>/dev/null | head -1) 2>/dev/null