🇰🇷 한글 설명
Piwik(현 Matomo) 3.0.3 이전 버전에서 슈퍼유저 권한의 인증된 사용자가 악의적인 플러그인(ZIP 파일)을 업로드하여 활성화하면 서버에서 임의의 PHP 코드를 실행할 수 있는 취약점입니다. 3.0.3 버전부터는 설정 파일에서 명시적으로 활성화하지 않는 한 플러그인 업로드 기능이 기본적으로 비활성화됩니다.
💡 쉬운 설명
Matomo 관리자가 위험한 플러그인을 설치할 수 있어 서버를 해킹당할 수 있습니다. 최신 버전으로 업그레이드하거나 플러그인 업로드를 제한하면 방지할 수 있습니다.
🇺🇸 원문 (English)
An authenticated remote code execution vulnerability exists in Piwik (now Matomo) versions prior to 3.0.3 via the plugin upload mechanism. In vulnerable versions, an authenticated user with Superuser privileges can upload and activate a malicious plugin (ZIP archive), leading to arbitrary PHP code execution on the underlying system. Starting with version 3.0.3, plugin upload functionality is disabled by default unless explicitly enabled in the configuration file.
📍 영향받는 시스템
Piwik/Matomo < 3.0.3
⚔️ 공격 벡터
인증된 슈퍼유저가 악의적 플러그인 ZIP 파일을 업로드하여 PHP 코드 실행
🛡️ 대응 방법
Matomo를 3.0.3 이상으로 업그레이드하거나 플러그인 업로드 기능을 명시적으로 비활성화
🔧 검증 코드
Matomo 버전이 3.0.3 이상이면 안전하고, 3.0.3 미만이면 업그레이드 필요합니다.
grep -i 'version' /path/to/matomo/core/Version.php | head -1