🇰🇷 한글 설명
BiggiDroid Simple PHP CMS 1.0의 /admin/editsite.php 파일에서 image 매개변수에 대한 검증이 부족하여 제한 없는 파일 업로드가 가능한 취약점입니다. 원격 공격자가 악의적인 파일을 업로드하여 서버를 장악할 수 있으며, 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
관리자 페이지에서 이미지를 업로드할 때 파일 검증이 제대로 되지 않아, 누구나 악성 파일을 서버에 업로드할 수 있는 문제입니다. 이를 통해 공격자가 웹사이트를 장악하거나 서버를 제어할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in BiggiDroid Simple PHP CMS 1.0. This impacts an unknown function of the file /admin/editsite.php. The manipulation of the argument image results in unrestricted upload. The attack can be launched remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
BiggiDroid Simple PHP CMS 1.0
⚔️ 공격 벡터
/admin/editsite.php의 image 매개변수에 대한 파일 타입 검증 부재로 원격 파일 업로드 실행
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 파일 업로드 검증(MIME 타입, 확장자, 파일 내용 검사)을 추가하고 업로드 디렉토리의 실행 권한을 제거하세요.
🔧 검증 코드
명령어가 /admin/editsite.php 경로를 출력하면 해당 시스템에 BiggiDroid CMS가 설치된 것이며, 결과가 없으면 미설치 상태입니다.
find / -path '*admin/editsite.php' 2>/dev/null | head -5