🇰🇷 한글 설명
Drupal용 OM Maximenu 모듈 6.x-1.43 이하 버전에서 '제목에 PHP' 옵션 활성화 시, 관리 권한을 가진 인증된 사용자가 '링크 제목' 필드를 통해 임의의 PHP 코드를 실행할 수 있는 원격 코드 실행 취약점입니다.
💡 쉬운 설명
Drupal 메뉴 관리 기능에서 관리자가 메뉴 제목에 PHP 코드를 삽입하여 실행할 수 있는 결함으로, 웹사이트 전체가 장악될 수 있습니다. 인증된 관리자만 가능하지만 위험도가 높습니다.
🇺🇸 원문 (English)
The OM Maximenu module 6.x-1.43 and earlier for Drupal, when the "Title has PHP" option is enabled, allows remote authenticated users with the "Administer OM Maximenu" permission to execute arbitrary PHP code via a "Link Title," a different vulnerability than CVE-2012-5553.
📍 영향받는 시스템
Drupal OM Maximenu module version 6.x-1.43 and earlier
⚔️ 공격 벡터
Authenticated user with 'Administer OM Maximenu' permission injects PHP code into Link Title field with 'Title has PHP' option enabled
🛡️ 대응 방법
Update OM Maximenu module to version 6.x-1.44 or later; alternatively disable 'Title has PHP' option in module settings
🔧 검증 코드
Maximenu 모듈 설치 위치 확인. 발견되면 드루팔 관리자 모듈 화면(admin/modules)에서 버전이 1.44 이상인지 확인하세요.
find . -name 'maximenu.module' -o -name 'maximenu.info' 2>/dev/null | xargs grep -l 'version' | head -1