🇰🇷 한글 설명
October CMS 412 빌드의 asset move 기능에서 PHP 객체 주입 취약점이 존재합니다. 이를 통해 공격자는 서버의 파일 권한 범위 내에서 임의의 파일을 삭제할 수 있습니다.
💡 쉬운 설명
October CMS 파일 옮기기 기능에 보안 결함이 있어서 인증된 공격자가 서버의 파일을 삭제할 수 있습니다. 삭제 가능한 범위는 웹서버 프로세스의 권한에 따라 제한됩니다.
🇺🇸 원문 (English)
October CMS build 412 is vulnerable to PHP object injection in asset move functionality resulting in ability to delete files limited by file permissions on the server.
📍 영향받는 시스템
October CMS 빌드 412 이하
⚔️ 공격 벡터
asset move 기능에서 특수 조작된 PHP 객체를 전송하여 파일 삭제 실행
🛡️ 대응 방법
October CMS를 최신 버전으로 업그레이드 또는 공식 보안 패치 적용
🔧 검증 코드
October CMS 설치 경로와 버전 정보를 확인하여 취약한 버전(412 이하)인지 검증
find /var/www -name 'cms' -o -name 'october' 2>/dev/null | head -1 && grep -r 'VERSION\|version' config.php 2>/dev/null | grep -i october