🇰🇷 한글 설명
Drupal의 Simplenews Scheduler 모듈 6.x-2.4 이전 버전에서 인증된 사용자가 스케줄링 폼을 통해 임의의 PHP 코드를 주입할 수 있는 취약점입니다. 주입된 코드는 Drupal의 정기 유지보수 작업(cron)이 실행될 때 서버에서 자동으로 실행됩니다.
💡 쉬운 설명
뉴스레터 전송 권한이 있는 사람이 악의적인 코드를 숨겨 넣을 수 있습니다. 자동으로 실행되는 작업이 이 코드를 발견하고 실행합니다.
🇺🇸 원문 (English)
The Simplenews Scheduler module 6.x-2.x before 6.x-2.4 for Drupal allows remote authenticated users with the "send scheduled newsletters" permission to inject arbitrary PHP code into the scheduling form, which is later executed by cron.
📍 영향받는 시스템
Drupal Simplenews Scheduler 모듈 6.x-2.0 ~ 6.x-2.3
⚔️ 공격 벡터
원격 인증된 사용자가 'send scheduled newsletters' 권한으로 스케줄링 폼에 PHP 코드 주입
🛡️ 대응 방법
6.x-2.4 이상으로 모듈 업그레이드
🔧 검증 코드
6.x-2.3 이하 버전 번호가 표시되면 취약함, 6.x-2.4 이상이면 안전함
find /var/www -name 'simplenews_scheduler.info' 2>/dev/null | xargs grep -E 'version|project' 2>/dev/null | head -2