🇰🇷 한글 설명
Piwigo 16.3.0 및 이전 버전의 설치 프로그램에서 데이터베이스 설정 시 입력값 검증이 미흡하여 발생하는 취약점입니다. PHP 8 이상 환경에서 보안 함수가 정상적으로 작동하지 않아, 공격자가 POST 파라미터를 통해 임의의 PHP 코드를 주입하고 실행할 수 있습니다.
💡 쉬운 설명
웹사이트 설치 과정에서 입력한 정보가 검증 없이 서버 파일에 그대로 저장되는 문제입니다. 해커가 이 틈을 타서 서버를 조종할 수 있는 악성 코드를 몰래 심을 수 있습니다.
🇺🇸 원문 (English)
The Piwigo installer in versions 16.3.0 and earlier accepts POST parameters for database configuration and writes them directly into a PHP configuration file without proper sanitization. On PHP 8+, the `addslashes()` protection is bypassed because it checks for `get_magic_quotes_gpc()`, a function removed in PHP 8.0. This allows raw user input to be interpolated directly into PHP source code. An unauthenticated attacker can inject arbitrary PHP code through POST parameters (prefix, dbpasswd, dbhost, dbname, or dbuser), which gets written to `local/config/database.inc.php` and executed on every page load.
📍 영향받는 시스템
Piwigo 16.3.0 및 그 이전 모든 버전 (PHP 8.0 이상 환경에서 특히 위험)
⚔️ 공격 벡터
인증되지 않은 공격자가 설치 페이지의 POST 파라미터(prefix, dbpasswd 등)에 악성 PHP 코드를 삽입하여 전송
🛡️ 대응 방법
Piwigo를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
PHP 버전이 8.x 이상인지 확인하고, 대상 서버의 설치 페이지에서 Piwigo 버전 정보를 확인하여 취약한 버전인지 판단합니다.
php -r 'echo version("PHP");' | grep -E '^8\.' && curl -s http://<target_ip>/path/to/installer | grep -i 'Piwigo'