🇰🇷 한글 설명
Akaunting 2.1.31 미만 버전에서 모듈 설치 및 업데이트 과정 중 OS 명령 주입 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 사용자가 alias 파라미터에 검증되지 않은 쉘 메타문자를 삽입하여 서버에서 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 프로그램의 특정 설정값에 악성 명령어를 몰래 끼워 넣어 서버를 마음대로 조종할 수 있는 문제입니다. 이로 인해 서버의 데이터가 유출되거나 시스템이 파괴될 위험이 있습니다.
🇺🇸 원문 (English)
Akaunting before 2.1.31 contains an OS command injection vulnerability in the module installation and update flow where the alias parameter is passed unvalidated to shell command execution. Authenticated users with admin panel access can inject shell metacharacters into the alias parameter to execute arbitrary commands on the server.
📍 영향받는 시스템
Akaunting 2.1.31 미만 모든 버전
⚔️ 공격 벡터
관리자 권한을 이용한 모듈 설치/업데이트 시 alias 파라미터에 쉘 메타문자 주입
🛡️ 대응 방법
Akaunting을 최신 버전(2.1.31 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
설치된 Akaunting의 버전을 확인하여 2.1.31 미만인지 체크합니다.