🇰🇷 한글 설명
Thelia v2.6.0 버전에서 인증된 관리자가 ZIP 업로드 기능을 통해 모듈을 설치할 때, 내장된 PHP 코드에 대한 검증이나 샌드박싱이 이루어지지 않는 취약점이 발견되었습니다. 공격자가 모듈의 install() 메서드에 악성 PHP 코드를 포함시켜 설치할 경우, 웹 서버 권한으로 원격 코드 실행(RCE)이 가능합니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 악성 코드가 담긴 파일을 업로드하여 서버를 마음대로 조종할 수 있는 문제입니다. 설치 과정에서 코드를 검사하지 않아 발생하는 보안 허점입니다.
🇺🇸 원문 (English)
Thelia v2.6.0 permits authenticated administrators to upload and install modules via the ZIP upload function without validating or sandboxing embedded PHP code. An attacker can include malicious PHP code in a module's `install()` method which will then be executed upon installation, enabling remote code execution with the privileges of the web server.
⚔️ 공격 벡터
인증된 관리자 계정을 이용한 악성 PHP 코드가 포함된 ZIP 모듈 업로드 및 설치
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전으로 업데이트하거나, 모듈 업로드 시 코드 검증 로직을 강화해야 합니다.
🔧 검증 코드
현재 설치된 Thelia의 버전이 취약한 버전인 2.6.0인지 확인합니다.
php -r 'echo "Thelia version check";' | grep -i '2.6.0' || echo 'Version not detected'