🇰🇷 한글 설명
unisharp/laravel-filemanager 2.9.1 이전 버전에서 유효한 MIME 타입과 PHP 파일 확장자 뒤에 점(.) 문자를 삽입하여 원격 코드 실행(RCE)이 가능한 심각한 취약점입니다. 공격자가 악의적인 코드를 서버에서 실행할 수 있습니다.
💡 쉬운 설명
파일 매니저 프로그램에서 PHP 파일명 뒤에 점을 붙여서 보안을 우회할 수 있습니다. 이를 통해 공격자가 서버를 완전히 제어할 수 있습니다.
🇺🇸 원문 (English)
Versions of the package unisharp/laravel-filemanager before 2.9.1 are vulnerable to Remote Code Execution (RCE) through using a valid mimetype and inserting the . character after the php file extension. This allows the attacker to execute malicious code.
📍 영향받는 시스템
unisharp/laravel-filemanager < 2.9.1
⚔️ 공격 벡터
파일 업로드 시 PHP 확장자 뒤에 점(.) 문자를 삽입하고 유효한 MIME 타입으로 위장하여 악성 PHP 파일 실행
🛡️ 대응 방법
unisharp/laravel-filemanager를 2.9.1 이상으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 2.9.1 이상이면 안전함, 미만이면 취약
grep -oP '"unisharp/laravel-filemanager":\s*"\K[^"]+' composer.lock | head -1