🇰🇷 한글 설명
vFairs 3.3 버전에서 발생하는 보안 취약점으로, 로그인한 모든 사용자가 다른 사용자의 프로필 정보나 사진을 수정할 수 있는 권한 설정 오류가 존재합니다. 공격자는 API 응답을 통해 다른 사용자의 ID를 식별한 후, HTTP POST 요청을 통해 프로필 설명을 변경하거나 악성 PHP 웹쉘을 프로필 이미지로 업로드할 수 있습니다.
💡 쉬운 설명
행사 사이트에 로그인한 사람이 다른 사람의 프로필 사진이나 정보를 마음대로 바꿀 수 있는 문제입니다. 이를 통해 다른 사람의 화면에 악성 코드를 띄우거나 서버를 해킹할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
vFairs 3.3 is affected by Insecure Permissions. Any user logged in to a vFairs virtual conference or event can modify any other users profile information or profile picture. After receiving any user's unique identification number and their own, an HTTP POST request can be made update their profile description or supply a new profile image. This can lead to potential cross-site scripting attacks on any user, or upload malicious PHP webshells as "profile pictures." The user IDs can be easily determined by other responses from the API for an event or chat room.
⚔️ 공격 벡터
API를 통해 수집한 타 사용자의 ID를 이용한 HTTP POST 요청을 통한 프로필 수정
🛡️ 대응 방법
vFairs 소프트웨어를 최신 보안 패치가 적용된 버전으로 업데이트하고 사용자 권한 관리 로직을 수정해야 합니다.
🔧 검증 코드
타인의 ID를 사용하여 프로필 수정 요청을 보냈을 때 성공 응답이 오면 취약한 상태입니다.
curl -s -X POST https://[target-domain]/api/v1/profile/update -d 'user_id=[target_id]&description=test' | grep -q 'success'