🔍 CVE-2015-2974

5.0
CVSS Score
MEDIUM
2015-07-29
2026-05-06 22:30
✅ 완료

🇰🇷 한글 설명

LEMON-S PHP Gazou BBS plus 2.36 이전 버전의 이미지 업로드 기능에서 파일 타입 검증 부재로 인해 임의의 HTML 문서를 업로드할 수 있는 취약점입니다. 공격자가 조작된 파일을 통해 서버에 악성 웹 페이지를 저장하고, 이를 통해 사용자를 대상으로 한 XSS 또는 피싱 공격을 수행할 수 있습니다.

💡 쉬운 설명

파일 업로드 기능이 제대로 검사하지 않아서, 나쁜 사람이 이미지인척 하는 웹 페이지를 서버에 올릴 수 있습니다. 그 페이지를 사용자가 접속하면 악성 코드가 실행되거나 속을 수 있습니다.

🇺🇸 원문 (English)

LEMON-S PHP Gazou BBS plus before 2.36 allows remote attackers to upload arbitrary HTML documents via vectors involving a crafted image file.

📍 영향받는 시스템

LEMON-S PHP Gazou BBS plus 버전 2.35 이하

⚔️ 공격 벡터

이미지 업로드 폼에 HTML 콘텐츠를 포함한 파일을 제출하여 확장자/MIME 타입 검증을 우회

🛡️ 대응 방법

LEMON-S PHP Gazou BBS plus를 2.36 이상으로 업그레이드 또는 서버에서 .html 파일 실행 제한 설정

🔧 검증 코드

검색 결과에서 버전이 2.36 이상이면 패치됨, 2.35 이하이거나 설치되지 않은 것으로 확인되면 설치 상태 확인 필요

Shell / Script 
find /var/www -name 'index.php' -type f -exec grep -l 'Gazou' {} \; 2>/dev/null && grep -r 'version' /var/www/*/VERSION 2>/dev/null | grep -oE '[0-9]+\.[0-9]+'

📊 CVSS Vector String

CVSS Vector 
AV:N/AC:L/Au:N/C:N/I:P/A:N

💻 영향받는 소프트웨어

PHP