🇰🇷 한글 설명
YesWiki 4.6.7 미만 버전의 WebfingerService에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증되지 않은 공격자가 조작된 actor_handle을 사용하여 내부 호스트로 HTTPS 요청을 보내 내부 서비스와 포트를 탐색할 수 있습니다.
💡 쉬운 설명
해커가 웹사이트의 기능을 악용하여 웹사이트 서버가 내부 네트워크에 있는 다른 컴퓨터들에게 몰래 질문을 던지게 만드는 공격입니다. 이를 통해 원래는 외부에서 볼 수 없는 내부 시스템의 정보를 몰래 알아낼 수 있습니다.
🇺🇸 원문 (English)
YesWiki before 4.6.7 contains a server-side request forgery vulnerability in WebfingerService that allows unauthenticated attackers to trigger HTTPS requests to internal hosts. Attackers can POST a crafted actor_handle with a numeric host and port to the abonnements view to probe internal HTTPS services and ports.
📍 영향받는 시스템
YesWiki 버전 4.6.7 미만
⚔️ 공격 벡터
abonnements 뷰에 조작된 actor_handle을 포함한 POST 요청 전송
🛡️ 대응 방법
YesWiki를 최신 버전인 4.6.7 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.6.7보다 낮은지 확인하십시오.
grep -r "version" /path/to/yeswiki/config/version.txt 2>/dev/null || echo 'Version check failed'