🇰🇷 한글 설명
BigTree CMS 4.2.18 이하에서 업로드된 패키지의 manifest.json 파일 내 tables 객체를 통해 인증된 사용자가 SQL injection 공격을 수행할 수 있습니다. 패키지/확장자 설치 프로세스에서 입력값을 제대로 검증하지 않아 데이터베이스 조작이 가능합니다.
💡 쉬운 설명
BigTree CMS에서 패키지를 설치할 때 악의적인 파일로 데이터베이스를 조작할 수 있는 문제입니다. 관리자 권한이 있는 사용자가 이를 이용해 민감한 정보를 탈취하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
BigTree CMS through 4.2.18 allows remote authenticated users to conduct SQL injection attacks via a crafted tables object in manifest.json in an uploaded package. This issue exists in core\admin\modules\developer\extensions\install\process.php and core\admin\modules\developer\packages\install\process.php. NOTE: the vendor states "You must implicitly trust any package or extension you install as they all have the ability to write PHP files.
📍 영향받는 시스템
BigTree CMS 4.2.18 이하 모든 버전
⚔️ 공격 벡터
인증된 관리자가 악의적으로 조작된 manifest.json을 포함한 패키지를 업로드하여 SQL injection 실행
🛡️ 대응 방법
BigTree CMS를 4.2.19 이상으로 업그레이드하고 신뢰할 수 없는 패키지 설치 제한
🔧 검증 코드
composer.json의 버전 필드가 4.2.19 이상이면 안전, 4.2.18 이하이면 즉시 업그레이드 필요
grep -i '"version"' /var/www/bigtree/composer.json 2>/dev/null | head -1