🇰🇷 한글 설명
itsourcecode Open Source Job Portal 1.0 버전의 /admin/user/controller.php?action=photos 경로에서 파일 업로드 제한이 없는 취약점이 발견되었습니다. 공격자가 photo 인자를 조작하여 원격에서 임의의 파일을 업로드할 수 있으며, 현재 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
웹사이트 관리자 페이지의 사진 업로드 기능에 허점이 있어, 해커가 사진 대신 악성 프로그램을 몰래 올릴 수 있습니다. 이로 인해 해커가 원격에서 웹사이트를 장악할 위험이 있습니다.
🇺🇸 원문 (English)
A vulnerability was identified in itsourcecode Open Source Job Portal 1.0. Affected by this vulnerability is an unknown functionality of the file /admin/user/controller.php?action=photos. The manipulation of the argument photo leads to unrestricted upload. The attack is possible to be carried out remotely. The exploit is publicly available and might be used.
📍 영향받는 시스템
itsourcecode Open Source Job Portal 1.0
⚔️ 공격 벡터
원격에서 photo 매개변수를 조작하여 제한 없는 파일 업로드 수행
🛡️ 대응 방법
해당 취약점이 패치된 최신 버전으로 업데이트하거나, 파일 업로드 시 확장자 및 파일 형식을 검증하는 로직을 추가해야 합니다.
🔧 검증 코드
해당 URL에 접근했을 때 200 OK 응답이 오는지 확인하여 해당 경로의 활성화 여부를 체크합니다.
curl -s -I http://<target-ip>/admin/user/controller.php?action=photos | grep -E 'HTTP/1.1 200 OK'