🇰🇷 한글 설명
Flarum 포럼 소프트웨어의 LESS 설정 검증 부족으로 인한 취약점입니다. 관리자가 테마 색상 설정에 @import 지시문을 주입하여 임의의 파일을 읽거나 서버에서 외부 요청을 트리거할 수 있습니다. 1.8.16 이상 및 2.0.0-rc.1 이상 버전에서 패치되었습니다.
💡 쉬운 설명
Flarum 포럼의 테마 색상 설정에서 관리자가 파일을 읽거나 외부 서버와 연결할 수 있는 악의적인 코드를 주입할 수 있습니다. 1.8.16 이상으로 업데이트하면 이 문제를 해결할 수 있습니다.
🇺🇸 원문 (English)
Flarum is open-source forum software. Prior to versions 1.8.16 and 2.0.0-rc.1, Flarum's patch for CVE-2023-27577 restricted the @import and data-uri() LESS features in the custom_less setting, but the same restriction was never applied to other settings registered as LESS config variables (for example theme_primary_color and theme_secondary_color, as well as any key registered via Extend\Settings::registerLessConfigVar()). Those values are interpolated verbatim into the LESS source at compile time, allowing an authenticated administrator to craft a theme-color value that injects an arbitrary @import directive into the compiled forum.css. Because the underlying LESS parser honours @import (inline) '<path>', an attacker can read arbitrary files reachable by the PHP process (local file inclusion) or trigger outbound HTTP(S) requests (server-side request forgery). This issue has been patched in versions 1.8.16 and 2.0.0-rc.1.
📍 영향받는 시스템
Flarum 1.8.15 이하 및 2.0.0-rc.1 미만 버전
⚔️ 공격 벡터
인증된 관리자가 테마 색상 또는 다른 LESS 설정값에 @import 지시문을 삽입하여 파일 읽기(LFI) 또는 서버측 요청 위조(SSRF) 수행
🛡️ 대응 방법
Flarum을 1.8.16 또는 2.0.0-rc.1 이상으로 즉시 업그레이드
🔧 검증 코드
Flarum 설치 디렉토리를 찾아 composer.lock에서 flarum/core 버전을 확인합니다. 1.8.16 미만 또는 2.0.0-rc.1 미만이면 취약한 상태입니다.
find / -name 'composer.json' -path '*/flarum/*' 2>/dev/null | xargs grep -l '"flarum/core"' | head -1 | xargs dirname | xargs -I {} sh -c 'cat {}/composer.lock | grep -A 2 '"name": "flarum/core"' 2>/dev/null | grep version'