🇰🇷 한글 설명
PHPGurukul Small CRM v3.0의 /crm/change-password.php 구성 요소에서 부적절한 세션 무효화 취약점이 발견되었습니다. 이로 인해 공격자가 사용자의 세션을 탈취하여 권한을 오용할 수 있는 세션 하이재킹 공격이 가능합니다.
💡 쉬운 설명
비밀번호를 변경한 후에도 기존 로그인 정보가 서버에서 완전히 삭제되지 않는 문제입니다. 이를 통해 해커가 사용자의 계정 권한을 몰래 가로챌 수 있습니다.
🇺🇸 원문 (English)
Improper session invalidation in the component /crm/change-password.php of PHPGurukul Small CRM v3.0 allows attackers to execute a session hijacking attack.
📍 영향받는 시스템
PHPGurukul Small CRM v3.0
⚔️ 공격 벡터
비밀번호 변경 후 잔존하는 세션 토큰을 이용한 세션 하이재킹
🛡️ 대응 방법
비밀번호 변경 프로세스 완료 시 기존 세션을 즉시 무효화하도록 소스 코드를 수정하거나 최신 패치를 적용하십시오.
🔧 검증 코드
명령어 결과로 해당 파일 경로가 출력되면 취약한 구성 요소가 시스템에 존재하는 것입니다.
grep -r '/crm/change-password.php' /var/www/html/ 2>/dev/null