🇰🇷 한글 설명
LOCKON EC-CUBE 2.11.0부터 2.13.3 버전에서 발견된 CSRF(사이트 간 요청 위조) 취약점입니다. doValidToken 함수의 불완전한 토큰 검증으로 인해 공격자가 정상 사용자의 인증 정보를 도용하여 임의의 PHP 스크립트에 악의적인 요청을 수행할 수 있습니다.
💡 쉬운 설명
다른 웹사이트에서 몰래 당신의 쇼핑몰 계정으로 명령을 내릴 수 있는 공격입니다. EC-CUBE 관리자나 사용자가 악의적인 링크를 클릭하면 자신도 모르게 계정 정보가 변경되거나 주문이 생성될 수 있습니다.
🇺🇸 원문 (English)
Cross-site request forgery (CSRF) vulnerability in LOCKON EC-CUBE 2.11.0 through 2.13.3 allows remote attackers to hijack the authentication of arbitrary users for requests that write to PHP scripts, related to the doValidToken function.
📍 영향받는 시스템
LOCKON EC-CUBE 2.11.0 ~ 2.13.3
⚔️ 공격 벡터
공격자가 CSRF 토큰 검증을 우회하는 악의적 페이지를 만들어 사용자를 유도하여 인증된 상태에서 원하지 않는 작업 수행
🛡️ 대응 방법
EC-CUBE를 2.13.4 이상으로 업그레이드하거나 CSRF 토큰 검증 로직(doValidToken 함수)을 즉시 패치 적용
🔧 검증 코드
표시된 버전이 2.13.3 이하면 취약점 영향을 받으며, 2.13.4 이상이면 패치됨을 의미합니다.
grep -r 'EC_CUBE_VERSION\|VERSION' /var/www/html/eccube/ 2>/dev/null | head -1 || grep '"version"' /var/www/html/eccube/composer.json 2>/dev/null