🇰🇷 한글 설명
Tiki Wiki CMS의 calendar 모듈에서 viewmode GET 파라미터를 통한 인증된 커맨드 인젝션 취약점입니다. 권한 있는 인증 사용자가 tiki-calendar.php 파일에 악의적 PHP 코드를 주입하여 웹 서버 권한으로 원격 코드를 실행할 수 있습니다.
💡 쉬운 설명
Tiki Wiki라는 웹 사이트 도구의 달력 기능에서 로그인한 사용자가 악성 코드를 몰래 심을 수 있습니다. 이 코드가 실행되면 공격자가 서버를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
An authenticated command injection vulnerability exists in Tiki Wiki CMS versions ≤14.1, ≤12.4 LTS, ≤9.10 LTS, and ≤6.14 via the `viewmode` GET parameter in `tiki-calendar.php`. When the calendar module is enabled and an authenticated user has permission to access it, an attacker can inject and execute arbitrary PHP code. Successful exploitation leads to remote code execution in the context of the web server user.
📍 영향받는 시스템
Tiki Wiki CMS 14.1 이하, 12.4 LTS 이하, 9.10 LTS 이하, 6.14 이하 버전
⚔️ 공격 벡터
calendar 모듈 활성화 상태에서 인증된 사용자가 tiki-calendar.php의 viewmode 파라미터에 PHP 코드를 주입
🛡️ 대응 방법
Tiki Wiki CMS를 최신 패치 버전으로 업그레이드하거나 calendar 모듈을 비활성화
🔧 검증 코드
tiki-calendar.php 파일이 발견되면 해당 시스템에 Tiki Wiki가 설치된 것이며, 발견된 파일의 디렉토리 경로에서 버전 정보를 확인하여 취약 버전 여부를 판단합니다.
find / -name 'tiki-calendar.php' -type f 2>/dev/null | head -5