🇰🇷 한글 설명
ProjeQtOr 프로젝트 관리 소프트웨어 9.1.4 버전에서 프로필 첨부 섹션을 통해 게스트 사용자가 악의적인 PHP 파일을 업로드할 수 있는 취약점이 존재합니다. 공격자는 업로드된 파일에 특수하게 조작된 요청 파라미터로 접근하여 임의의 시스템 명령어를 실행할 수 있습니다.
💡 쉬운 설명
ProjeQtOr에서 누구나 악성 PHP 파일을 업로드할 수 있는 보안 구멍이 있습니다. 이를 이용하면 공격자가 서버에서 원하는 명령어를 실행할 수 있게 됩니다.
🇺🇸 원문 (English)
ProjeQtOr Project Management 9.1.4 contains a file upload vulnerability that allows guest users to upload malicious PHP files with arbitrary code execution capabilities. Attackers can upload a PHP script through the profile attachment section and execute system commands by accessing the uploaded file with a specially crafted request parameter.
📍 영향받는 시스템
ProjeQtOr Project Management 9.1.4 및 그 이전 버전
⚔️ 공격 벡터
프로필 첨부 기능을 악용하여 PHP 웹셸을 업로드하고 HTTP 요청 파라미터로 코드 실행
🛡️ 대응 방법
ProjeQtOr를 최신 버전(9.1.5 이상)으로 업그레이드하거나 파일 업로드 검증 및 PHP 실행 비활성화 설정 적용
🔧 검증 코드
ProjeQtOr 버전이 9.1.5 이상이면 패치됨. 9.1.4 이하면 취약한 상태
find /path/to/projeqtor -name 'version.php' -o -name 'VERSION' | xargs grep -h 'VERSION\|version' 2>/dev/null | head -1