🇰🇷 한글 설명
Plone 4.2.3 이전, 4.3 베타 1 이전 버전의 registerConfiglet.py에서 관리자 인터페이스의 검증 부재로 인해 원격 공격자가 Python 코드를 실행할 수 있는 취약점입니다. 이를 통해 서버 장악 및 데이터 유출이 가능합니다.
💡 쉬운 설명
Plone 웹사이트 관리 도구에 접근할 수 있는 사람이 서버에서 프로그램 코드를 마음대로 실행시킬 수 있는 보안 허점입니다. 이로 인해 서버 전체가 해킹될 수 있습니다.
🇺🇸 원문 (English)
registerConfiglet.py in Plone before 4.2.3 and 4.3 before beta 1 allows remote attackers to execute Python code via unspecified vectors, related to the admin interface.
📍 영향받는 시스템
Plone 4.0.x ~ 4.2.2, Plone 4.3 베타 1 이전 모든 버전
⚔️ 공격 벡터
인증 여부에 관계없이 관리자 인터페이스의 configlet 등록 기능을 통한 직렬화된 Python 객체 삽입
🛡️ 대응 방법
Plone을 4.2.3, 4.3 이상으로 업그레이드하거나 보안 패치 적용
🔧 검증 코드
Plone 버전이 4.2.3 이상인지 확인. 4.2.2 이하 또는 4.3 베타 1 이하면 취약함
pip list 2>/dev/null | grep -i plone