🇰🇷 한글 설명
Froxlor 0.10.0 미만 2.3.14 버전에서 권한 부여 누락 취약점이 발견되었습니다. 이 취약점을 통해 리셀러 계정이 API 읽기 명령을 사용하여 관리자 전용 MySQL 서버 및 크론잡(cronjob) 설정을 읽을 수 있습니다.
💡 쉬운 설명
일반 사용자 권한을 가진 리셀러가 원래는 볼 수 없는 관리자의 중요한 데이터베이스 정보와 작업 스케줄 정보를 몰래 훔쳐볼 수 있는 문제입니다. 이를 통해 시스템의 중요한 설정값들이 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Froxlor 0.10.0 before 2.3.14 contains a missing authorization vulnerability that allows reseller accounts to read full-admin-only MySQL server and cronjob configuration via API read commands. Resellers can call MysqlServer.listing, MysqlServer.get, or Cronjobs.listing through api.php to obtain management usernames, hosts, ports, TLS settings, and cron metadata.
📍 영향받는 시스템
Froxlor 0.10.0 ~ 2.3.13 버전
⚔️ 공격 벡터
api.php를 통한 MysqlServer.listing, MysqlServer.get, Cronjobs.listing API 호출
🛡️ 대응 방법
Froxlor를 최신 보안 패치가 적용된 2.3.14 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.3.14 미만인 경우 해당 취약점에 노출된 상태입니다.
php -r 'echo "Froxlor Version: " . (file_exists("/usr/share/froxlor/version.php") ? include("/usr/share/froxlor/version.php") : "Not Found");' 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
Multi-Domain Security Management Server