🇰🇷 한글 설명
PrestaShop의 백오피스 성능(Performance) 디버그 모드 설정에서 인증된 PHP 코드 주입 취약점이 존재합니다. 디버그 설정 권한을 가진 백오피스 사용자가 조작된 debug_cookie_name 또는 debug_cookie_value를 입력하면, 이스케이프 처리 없이 PHP 설정 파일에 기록되어 웹 서버 권한으로 코드가 실행될 수 있습니다.
💡 쉬운 설명
관리자 화면의 디버그 설정 기능에 악성 코드를 심을 수 있는 허점이 있습니다. 이 권한을 가진 사람이 악용하면 웹 서버에서 임의의 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
PrestaShop contains an authenticated PHP code injection vulnerability in the back-office Performance debug-mode configuration. A back-office user with permission to modify debug settings can supply a crafted `debug_cookie_name` or `debug_cookie_value` that is written without sufficient escaping into a PHP configuration file. When PrestaShop subsequently loads the generated file, the injected PHP code is executed with the privileges of the web-server process.
📍 영향받는 시스템
PrestaShop 쇼핑몰 플랫폼(취약 버전 및 패치 여부는 공식 보안 공지 확인 필요)
⚔️ 공격 벡터
백오피스에서 디버그 쿠키 이름/값 설정에 악성 PHP 코드를 입력해 설정 파일에 기록되도록 한 뒤 실행
🛡️ 대응 방법
PrestaShop을 공식 보안 패치가 적용된 최신 버전으로 업그레이드하고, 백오피스 사용자 권한을 최소화하며 디버그 모드를 비활성화
🔧 검증 코드
출력된 버전 번호를 PrestaShop 공식 보안 공지의 취약 버전 목록과 대조하며, 결과가 없으면 설치 경로를 직접 확인해야 합니다.
grep -rn 'PS_VERSION\|_PS_VERSION_' /var/www/html/config/defines.inc.php 2>/dev/null | head -n 1