🇰🇷 한글 설명
Plone CMS의 python_scripts.py 파일에서 createObject 함수를 통해 검증되지 않은 URL이 전달될 경우 원격 공격자가 임의의 Python 코드를 실행할 수 있는 취약점입니다. 공격자는 특별히 조작된 URL을 통해 서버에서 Python 코드를 직접 실행하여 시스템을 완전히 제어할 수 있습니다.
💡 쉬운 설명
Plone 웹사이트 관리 시스템에서 특정 URL을 통해 해커가 서버에 명령을 실행할 수 있는 보안 결함입니다. 이를 통해 해커는 웹사이트의 모든 데이터에 접근하거나 시스템을 손상시킬 수 있습니다.
🇺🇸 원문 (English)
python_scripts.py in Plone before 4.2.3 and 4.3 before beta 1 allows remote attackers to execute Python code via a crafted URL, related to createObject.
📍 영향받는 시스템
Plone 4.2.3 이전, Plone 4.3 beta 1 이전 모든 버전
⚔️ 공격 벡터
특별히 조작된 URL을 createObject 함수에 전달하여 원격 코드 실행 (RCE) 유발
🛡️ 대응 방법
Plone을 4.2.3 이상 또는 4.3 beta 1 이상으로 업그레이드 필수 (보안 패치 적용)
🔧 검증 코드
명령어 실행 후 python_scripts.py 파일이 발견되면 해당 파일의 Plone 버전을 확인하여 4.2.3 미만 또는 4.3 beta 1 미만이면 취약함
find / -name 'python_scripts.py' 2>/dev/null | xargs grep -l 'createObject' | head -1