🇰🇷 한글 설명
ProcessMaker Open Source 2.x 버전의 기본 'neoclassic' 스킨에 코드 인젝션 취약점이 존재합니다. 인증된 사용자가 appFolderAjax.php, casesStartPage_Ajax.php, cases_SchedulerGetPlugins.php 등의 엔드포인트에 조작된 POST 요청을 통해 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
ProcessMaker 소프트웨어의 일부 버전에서 로그인한 사용자가 특정 파일에 악의적인 명령어를 보낼 수 있습니다. 이를 통해 서버에서 원하는 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
A code injection vulnerability exists in ProcessMaker Open Source versions 2.x when using the default 'neoclassic' skin. An authenticated user can execute arbitrary PHP code via multiple endpoints, including appFolderAjax.php, casesStartPage_Ajax.php, and cases_SchedulerGetPlugins.php, by supplying crafted POST requests to parameters such as action and params. These endpoints fail to validate user input and directly invoke PHP functions like system() with user-supplied parameters, enabling remote code execution. The vulnerability affects both Linux and Windows installations and is present in default configurations of versions including 2.0.23 through 2.5.1. The vulnerable skin cannot be removed through the web interface, and exploitation requires only valid user credentials.
📍 영향받는 시스템
ProcessMaker Open Source 버전 2.0.23 ~ 2.5.1 (기본 neoclassic 스킨)
⚔️ 공격 벡터
인증된 사용자가 POST 요청을 통해 action, params 파라미터에 PHP 코드를 주입하여 system() 함수 등으로 임의 코드 실행
🛡️ 대응 방법
ProcessMaker를 2.5.2 이상으로 업그레이드하거나 neoclassic 스킨을 다른 스킨으로 변경
🔧 검증 코드
ProcessMaker 설치 디렉토리가 출력되면 설치되어 있는 것이며, 해당 디렉토리의 버전 정보를 확인하여 2.0.23-2.5.1 범위인지 검증합니다.
find / -type d -name processmaker 2>/dev/null | head -1