🇰🇷 한글 설명
Maho 25.9.0 이전 버전에서 인증된 스태프 사용자가 제품 관리 권한으로 파일 입력 필드를 가진 커스텀 옵션을 생성하고 .php 확장자 파일을 업로드하여 원격 코드 실행(RCE)을 달성할 수 있습니다. 이는 내부 위협 및 권한 상승 공격에 악용될 수 있습니다.
💡 쉬운 설명
Maho 전자상거래 플랫폼에서 관리자 권한 사용자가 상품 옵션에 위험한 PHP 파일을 업로드할 수 있습니다. 이를 통해 공격자가 서버 전체를 제어하는 악성 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Maho is a free and open source ecommerce platform. In Maho prior to 25.9.0, an authenticated staff user with access to the `Dashboard` and `Catalog\Manage Products` permissions can create a custom option on a listing with a file input field. By allowing file uploads with a `.php` extension, the user can use the filed to upload malicious PHP files, gaining remote code execution. Version 25.9.0 fixes the issue.
📍 영향받는 시스템
Maho < 25.9.0 (모든 플랫폼)
⚔️ 공격 벡터
인증된 스태프 사용자가 Dashboard 및 Catalog\Manage Products 권한으로 .php 파일 업로드를 통한 RCE 달성
🛡️ 대응 방법
Maho를 25.9.0 이상으로 즉시 업그레이드하고 파일 업로드 확장자 화이트리스트 검증 강화
🔧 검증 코드
버전이 25.9.0 이상이면 패치됨, 25.8.x 이하면 즉시 업그레이드 필요
grep -r '"version"' /opt/maho/composer.json 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' | head -1