🇰🇷 한글 설명
Thelia 3.0.0의 백오피스 이메일/메시지 기능에서 서버 측 템플릿 주입(SSTI) 취약점이 발견되었습니다. 'Messages' 권한을 가진 인증된 사용자가 검증되지 않은 Twig 템플릿을 입력하여 임의의 PHP 코드를 실행하고 시스템을 완전히 장악할 수 있습니다.
💡 쉬운 설명
메시지 작성 권한이 있는 사용자가 특수한 코드를 입력하면 서버가 이를 명령어로 착각해 실행하는 문제입니다. 이를 통해 해커가 서버의 파일을 읽거나 시스템 전체를 조종할 수 있습니다.
🇺🇸 원문 (English)
Thelia 3.0.0's back-office Email/Messages feature contains a server‑side template injection (SSTI) flaw that allows any authenticated user with the “Messages” permission to supply unsandboxed Twig templates, which are then compiled and executed as raw code. By modifying Message content, an attacker can execute arbitrary PHP functions, read sensitive files, and potentially write to the filesystem, leading to full compromise of the application and underlying host. This vulnerability has been patched in thelia/twig-engine-module 1.0.9.
📍 영향받는 시스템
Thelia 3.0.0 (via twig-engine-module < 1.0.9)
⚔️ 공격 벡터
인증된 사용자가 메시지 내용에 악의적인 Twig 템플릿 코드를 삽입하여 실행
🛡️ 대응 방법
thelia/twig-engine-module를 1.0.9 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 1.0.9 미만인 경우 해당 취약점에 노출된 상태입니다.
composer show thelia/twig-engine-module | grep 'versions'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server