🇰🇷 한글 설명
php-heic-to-jpg 1.0.5 이하 버전에서 파일명을 통한 코드 인젝션 취약점이 발견되었습니다. HEIC 이미지 업로드 시 특수하게 조작된 파일명을 통해 서버에서 임의의 코드 실행이 가능합니다. 1.0.6에서 패치되었으며 CVSS 9.8로 매우 심각합니다.
💡 쉬운 설명
사진 변환 도구에서 특이한 이름의 파일을 업로드하면 해킹할 수 있는 버그가 있습니다. 공격자가 완전히 시스템을 장악할 수 있으므로 급하게 수정이 필요합니다.
🇺🇸 원문 (English)
php-heic-to-jpg <= 1.0.5 is vulnerable to code injection (fixed in 1.0.6). An attacker who can upload heic images is able to execute code on the remote server via the file name. As a result, the CIA is no longer guaranteed. This affects php-heic-to-jpg 1.0.5 and below.
📍 영향받는 시스템
php-heic-to-jpg <= 1.0.5 (모든 배포 플랫폼)
⚔️ 공격 벡터
조작된 파일명의 HEIC 이미지 업로드를 통한 원격 코드 실행
🛡️ 대응 방법
1.0.6 이상으로 즉시 업그레이드 필수, 대안으로 HEIC 업로드 기능 임시 비활성화
🔧 검증 코드
출력된 버전이 1.0.6 이상이면 안전, 1.0.5 이하면 긴급 업그레이드 필요
composer show | grep heic && php -r "echo shell_exec('composer show | grep heic-to-jpg');"