🇰🇷 한글 설명
FineCMS 2.1.0의 URL Manager 'Add Site' 기능에서 도메인 입력 필드가 사용자 입력을 검증하지 않아 작은따옴표(')와 PHP 코드를 조합하여 임의의 PHP 코드를 원격 실행할 수 있는 취약점입니다. 공격자는 ',phpinfo() 같은 입력으로 서버 함수를 직접 실행하고 시스템을 완전히 제어할 수 있습니다.
💡 쉬운 설명
FineCMS 도메인 입력창에 특수 문자와 악의적 코드를 함께 입력하면 공격자가 서버를 완전히 장악할 수 있는 결함입니다. 이를 통해 웹사이트 데이터 탈취, 변조, 삭제 등 모든 악의적 행위가 가능합니다.
🇺🇸 원문 (English)
FineCMS 2.1.0 allows remote attackers to execute arbitrary PHP code by using a URL Manager "Add Site" action to enter this code after a ', sequence in a domain name, as demonstrated by the ',phpinfo() input value.
📍 영향받는 시스템
FineCMS 2.1.0 및 그 이전 버전
⚔️ 공격 벡터
URL Manager Add Site 폼의 도메인 입력 필드에 ',<PHP코드> 형식으로 SQL/PHP 인젝션 수행
🛡️ 대응 방법
공식 보안 패치 적용 또는 최신 버전 업그레이드, 입력값 검증 및 필터링 강화 필요
🔧 검증 코드
FineCMS 설치 위치와 버전 정보 확인. 2.1.0 이하면 취약한 것으로 판단되며 즉시 업그레이드 필요
grep -r 'finecms' /var/www/*/index.php 2>/dev/null | head -1 && find /var/www -path '*finecms*' -name 'version.php' -o -name 'config.php' 2>/dev/null | xargs cat 2>/dev/null | grep -i version | head -1