🇰🇷 한글 설명
macrozheng mall 1.0.3 이하 버전의 Portal Endpoint 구성 요소 내 /returnApply/create 함수에서 취약점이 발견되었습니다. orderId 인자를 조작하여 리소스 식별자를 부적절하게 제어할 수 있으며, 공격자는 이를 통해 원격에서 공격을 수행할 수 있습니다. 현재 해당 취약점에 대한 공개 익스플로잇이 존재합니다.
💡 쉬운 설명
쇼핑몰 시스템의 특정 주문 번호를 조작하여 권한이 없는 데이터나 자원에 접근할 수 있는 보안 약점입니다. 해커가 인터넷을 통해 원격으로 이 문제를 악용할 수 있어 주의가 필요합니다.
🇺🇸 원문 (English)
A vulnerability was identified in macrozheng mall up to 1.0.3. This impacts an unknown function of the file /returnApply/create of the component Portal Endpoint. The manipulation of the argument orderId leads to improper control of resource identifiers. The attack can be initiated remotely. The exploit is publicly available and might be used. The vendor deleted the GitHub issue for this vulnerability without any explanation.
📍 영향받는 시스템
macrozheng mall 1.0.3 이하 버전
⚔️ 공격 벡터
원격에서 orderId 인자 값을 조작하여 리소스 식별자 제어권을 획득하는 방식
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전으로 업데이트하거나, 관련 엔드포인트(/returnApply/create)에 대한 접근 제어 및 입력값 검증 로직을 강화해야 합니다.
🔧 검증 코드
해당 엔드포인트의 응답 상태 코드를 확인하여 서비스 활성화 여부 및 접근 가능성을 점검합니다.
curl -s -I http://<target-ip>/returnApply/create | grep -i 'HTTP/1.1'