🔍 CVE-2023-53922

9.8
CVSS Score
CRITICAL
2025-12-17
2025-12-18 19:16
✅ 완료

🇰🇷 한글 설명

TinyWebGallery v2.5에서 발생하는 원격 코드 실행 취약점으로 인증되지 않은 공격자가 악성 PHP 파일을 업로드하여 서버에서 임의의 코드를 실행할 수 있습니다.

💡 쉬운 설명

TinyWebGallery의 관리자 업로드 기능에 취약점이 있어 공격자가 악성 파일을 업로드하고 임의의 코드를 실행할 수 있습니다. 이는 서버의 보안을 크게 위협합니다.

🇺🇸 원문 (English)

TinyWebGallery v2.5 contains a remote code execution vulnerability in the admin upload functionality that allows unauthenticated attackers to upload malicious PHP files. Attackers can upload .phar files with embedded system commands to execute arbitrary code on the server by accessing the uploaded file's URL.

📍 영향받는 시스템

TinyWebGallery v2.5

⚔️ 공격 벡터

인증되지 않은 공격자가 관리자 업로드 기능을 악용하여 악성 PHP 파일을 업로드하고, 업로드된 파일의 URL에 접근하여 임의의 코드를 실행

🛡️ 대응 방법

TinyWebGallery를 최신 버전으로 업데이트 하거나, 관리자 업로드 기능에 대한 접근을 제한하고, 업로드 파일의 검증을 강화

🔧 검증 코드

로컬에서 TinyWebGallery가 설치되어 있는지 확인하고, 관리자 업로드 기능에 대한 접근 여부를 확인합니다. Python 3.x 이상이 설치되어 있어야 합니다. 코드를 실행하기 전에 TinyWebGallery의 URL을 확인하고, 코드의 url 변수를 해당 URL로 변경해야 합니다.

Shell / Script 
python -c "import requests; url = 'http://localhost/TinyWebGallery/admin/upload.php'; response = requests.get(url); if response.status_code == 200: print('{{"result": "취약", "reason": "관리자 업로드 기능에 접근 가능"}}'); else: print('{{"result": "양호", "reason": "관리자 업로드 기능에 접근 불가"}}')"

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP