🇰🇷 한글 설명
TYPO3 Color Picker Wizard 컴포넌트의 PHP 객체 직렬화 취약점으로, 인증된 편집자가 악의적인 직렬화 데이터를 전송하여 서버에서 임의의 PHP 코드를 실행할 수 있습니다. 이는 시스템의 완전한 침해를 초래할 수 있습니다.
💡 쉬운 설명
TYPO3 관리자 도구의 보안 결함으로 로그인한 사용자가 특수한 파일을 통해 서버에서 원하는 명령을 실행할 수 있습니다. 이를 통해 웹사이트 전체가 해킹될 수 있습니다.
🇺🇸 원문 (English)
The Color Picker Wizard component in TYPO3 4.5.0 before 4.5.34, 4.7.0 before 4.7.19, 6.0.0 before 6.0.14, and 6.1.0 before 6.1.9 allows remote authenticated editors to execute arbitrary PHP code via a serialized PHP object.
📍 영향받는 시스템
TYPO3 4.5.0-4.5.33, 4.7.0-4.7.18, 6.0.0-6.0.13, 6.1.0-6.1.8
⚔️ 공격 벡터
인증된 편집자 권한으로 Color Picker 컴포넌트에 직렬화된 PHP 객체 전송
🛡️ 대응 방법
TYPO3를 4.5.34, 4.7.19, 6.0.14, 6.1.9 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전 번호가 각 브랜치별 패치된 버전 이상이면 안전함. 더 낮으면 즉시 업그레이드 필요.
grep -r 'version' /var/www/html/typo3/sysext/core/ext_emconf.php 2>/dev/null | grep -oE '\d+\.\d+\.\d+'