🇰🇷 한글 설명
BigTree CMS 4.2.18 이하 버전에서 인증된 사용자가 악의적인 패키지를 업로드할 때 manifest.json의 title, version, author_name 필드를 통해 XSS 공격을 수행할 수 있습니다. 패키지 설치 과정(unpack.php)에서 입력값이 제대로 검증되지 않아 임의의 웹 스크립트나 HTML이 주입되어 실행됩니다.
💡 쉬운 설명
BigTree CMS에서 패키지를 설치할 때 악의적인 코드가 포함된 파일을 업로드하면 다른 사용자의 브라우저에서 자동으로 실행될 수 있습니다. 관리자만 수행 가능하지만, 신뢰할 수 없는 확장 프로그램 설치 시 위험합니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in BigTree CMS through 4.2.18 allow remote authenticated users to inject arbitrary web script or HTML by uploading a crafted package, triggering mishandling of the (1) title or (2) version or (3) author_name parameter in manifest.json. This issue exists in core\admin\modules\developer\extensions\install\unpack.php and core\admin\modules\developer\packages\install\unpack.php. NOTE: the vendor states "You must implicitly trust any package or extension you install as they all have the ability to write PHP files.
📍 영향받는 시스템
BigTree CMS 버전 4.2.18 이하
⚔️ 공격 벡터
인증된 사용자(관리자)가 manifest.json에 XSS 페이로드를 포함한 패키지 또는 확장 프로그램 업로드
🛡️ 대응 방법
BigTree CMS를 4.2.19 이상으로 업그레이드하고, 신뢰할 수 있는 소스의 패키지만 설치하며, 패키지 설치 전 manifest.json 검증 실시
🔧 검증 코드
해당 경로에 unpack.php 파일이 존재하면 BigTree CMS가 설치되어 있으며, 이후 버전 파일(예: config/bigtree/version.php)에서 4.2.18 이하 확인 시 취약점 영향을 받습니다.
find /var/www -name 'unpack.php' -path '*developer*' 2>/dev/null | head -5