🇰🇷 한글 설명
1Panel 2.0.13 이하 버전에서 클라이언트가 제어하는 파라미터를 악용하여 CAPTCHA 인증을 비활성화할 수 있는 취약점이 발견되었습니다. 서버가 해당 값을 적절한 검증 없이 신뢰함에 따라 CAPTCHA 보호 기능이 우회될 수 있으며, 이는 자동화된 로그인 시도를 통한 계정 탈취 위험을 크게 높입니다.
💡 쉬운 설명
로그인할 때 나타나는 '로봇이 아닙니다' 체크(CAPTCHA)를 공격자가 마음대로 끌 수 있는 보안 약점이 발견되었습니다. 이로 인해 해커가 프로그램을 이용해 무차별적으로 비밀번호를 입력하며 계정을 훔치려 시도할 수 있습니다.
🇺🇸 원문 (English)
1Panel is an open-source, web-based control panel for Linux server management. Versions 2.0.13 and below allow an unauthenticated attacker to disable CAPTCHA verification by abusing a client-controlled parameter. Because the server previously trusted this value without proper validation, CAPTCHA protections can be bypassed, enabling automated login attempts and significantly increasing the risk of account takeover (ATO). This issue is fixed in version 2.0.14.
📍 영향받는 시스템
1Panel 2.0.13 및 그 이하 모든 버전
⚔️ 공격 벡터
클라이언트 제어 파라미터 조작을 통한 CAPTCHA 인증 우회 및 자동화된 로그인 시도
🛡️ 대응 방법
1Panel을 최신 보안 패치가 적용된 버전 2.0.14 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 2.0.13 이하의 버전 번호가 출력되면 취약한 상태이며, 출력되지 않으면 안전합니다.
curl -s http://localhost:8088/version | grep -E '2\.[0-1][0-3]'