🇰🇷 한글 설명
php-censor 2.1.6 이하 버전의 Webhook Endpoint 구성 요소에서 OS 명령 주입 취약점이 발견되었습니다. src/Model/Build/GitBuild.php 파일의 특정 함수에서 commitId 인자를 조작함으로써 원격에서 명령을 실행할 수 있습니다. 해당 취약점에 대한 익스플로잇이 공개되어 있어 즉각적인 패치가 권장됩니다.
💡 쉬운 설명
해커가 웹훅을 통해 특수하게 조작된 데이터를 보내면, 서버가 이를 명령어로 착각하여 실행할 수 있는 보안 약점입니다. 이를 통해 공격자는 멀리 떨어진 곳에서도 여러분의 서버를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in php-censor up to 2.1.6. This affects an unknown function of the file src/Model/Build/GitBuild.php of the component Webhook Endpoint. Performing a manipulation of the argument commitId results in os command injection. The attack can be initiated remotely. The exploit has been made public and could be used. The patch is named cd68d102601320bd319d590b75f7652e66f0685f. It is recommended to apply a patch to fix this issue.
📍 영향받는 시스템
php-censor 2.1.6 및 그 이전 버전
⚔️ 공격 벡터
원격에서 Webhook Endpoint의 commitId 인자를 조작하여 OS 명령 주입 수행
🛡️ 대응 방법
제공된 패치(cd68d102601320bd319d590b75f7652e66f0685f)를 적용하여 업데이트
🔧 검증 코드
출력된 버전이 2.1.6 이하인 경우 해당 취약점에 노출되었을 가능성이 높습니다.
php -r 'echo "2.1.6";' | grep -E '^(2\.[0-1]\.[0-6])$'