🔍 CVE-2024-41454

6.5
CVSS Score
MEDIUM
2025-01-15
2026-04-15 00:35
✅ 완료

🇰🇷 한글 설명

Process Maker pm4core-docker 4.1.21-RC7의 UI 로그인 페이지 로고 업로드 함수에서 발견된 임의 파일 업로드 취약점으로, 공격자가 악의적인 PHP 또는 HTML 파일을 업로드하여 임의 코드를 실행할 수 있습니다.

💡 쉬운 설명

Process Maker 로그인 화면의 로고 업로드 기능이 파일 형식을 제대로 검증하지 않아, 해커가 악성 파일을 업로드하고 실행시킬 수 있습니다. 이를 통해 서버를 완전히 제어당할 수 있습니다.

🇺🇸 원문 (English)

An arbitrary file upload vulnerability in the UI login page logo upload function of Process Maker pm4core-docker 4.1.21-RC7 allows attackers to execute arbitrary code via uploading a crafted PHP or HTML file.

📍 영향받는 시스템

Process Maker pm4core-docker 4.1.21-RC7 (모든 설치 환경)

⚔️ 공격 벡터

로그인 페이지에 접근하여 로고 업로드 기능을 이용해 PHP/HTML 악성 파일 업로드

🛡️ 대응 방법

Process Maker를 최신 버전으로 업그레이드하거나 파일 업로드 기능을 비활성화하고, 웹 서버 설정에서 업로드 디렉토리의 코드 실행 권한 제거

🔧 검증 코드

명령어 실행 후 pm4core 4.1.21 또는 4.1.20 버전이 출력되면 취약점 영향 범위 내에 있는 것이며, 'not found' 메시지가 나타나면 취약한 버전이 설치되지 않은 상태입니다.

Shell / Script 
docker images --format '{{.Repository}}:{{.Tag}}' 2>/dev/null | grep -iE 'pm4core|procesmaker' | grep -E '4\.1\.(21|20)' || echo 'Vulnerable version not found'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

💻 영향받는 소프트웨어

PHP