🇰🇷 한글 설명
Sphider 1.3.6의 관리자 패널(admin/admin.php)에서 _word_upper_bound 매개변수를 통한 정적 코드 주입 취약점입니다. 인증된 원격 사용자가 설정 파일(settings/conf.php)에 임의의 PHP 코드를 주입할 수 있으며, 이를 통해 웹서버 제어 권한을 획득할 수 있습니다.
💡 쉬운 설명
Sphider 검색 엔진의 관리자 설정에서 악의적인 코드를 몰래 삽입할 수 있는 보안 허점이 있습니다. 권한 있는 사용자가 이를 악용하면 웹서버 전체를 제어할 수 있게 됩니다.
🇺🇸 원문 (English)
Static code injection vulnerability in admin/admin.php in Sphider 1.3.6 allows remote authenticated users to inject arbitrary PHP code into settings/conf.php via the _word_upper_bound parameter.
📍 영향받는 시스템
Sphider 1.3.6 및 이전 버전
⚔️ 공격 벡터
인증된 사용자가 admin/admin.php의 _word_upper_bound 매개변수에 PHP 코드를 주입하여 conf.php 파일 변조
🛡️ 대응 방법
Sphider를 최신 버전으로 업그레이드하거나 입력 검증/이스케이프 처리 강화 패치 적용
🔧 검증 코드
명령어가 파일을 반환하면 해당 Sphider 버전 확인 필요, 결과 없으면 취약한 버전 미설치
find / -path '*/sphider*' -name 'admin.php' 2>/dev/null | xargs grep -l 'word_upper_bound' 2>/dev/null