🇰🇷 한글 설명
Smarty는 PHP 템플릿 엔진으로, 영향을 받는 버전에서 템플릿 작성자가 extends-tag의 악의적인 파일명을 통해 PHP 코드를 주입할 수 있습니다. 템플릿 작성자를 완전히 신뢰할 수 없는 사이트는 즉시 업데이트가 필요하며, v3 브랜치 사용자를 위한 패치는 없습니다.
💡 쉬운 설명
웹사이트의 디자인 틀(Smarty)에서 누군가 악의적인 파일명을 이용해 몰래 명령어를 실행할 수 있는 보안 문제입니다. 이를 해결하려면 Smarty를 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Smarty is a template engine for PHP, facilitating the separation of presentation (HTML/CSS) from application logic. In affected versions template authors could inject php code by choosing a malicious file name for an extends-tag. Sites that cannot fully trust template authors should update asap. All users are advised to update. There is no patch for users on the v3 branch. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Smarty template engine (모든 영향받는 버전, v3 브랜치는 패치 없음)
⚔️ 공격 벡터
extends-tag에서 악의적으로 조작된 파일명을 통한 PHP 코드 주입
🛡️ 대응 방법
Smarty를 최신 보안 버전으로 즉시 업데이트 (v3 사용자는 마이그레이션 고려)
🔧 검증 코드
Smarty 패키지의 버전이 출력되면 해당 버전이 CVE-2024-35226 패치를 포함하는지 공식 보안 권고사항과 비교하여 확인합니다.
composer show smarty/smarty 2>/dev/null | grep -i version