🇰🇷 한글 설명
Vvveb 1.0.8.2 이전 버전의 docker-compose-apache.yaml에 phpMyAdmin 자격증명이 하드코딩되어 있어 인증 없이 데이터베이스에 접근 가능합니다. 공격자는 phpMyAdmin 포트를 통해 Vvveb 데이터베이스의 관리자 비밀번호, 고객 개인정보, 주문 데이터 등에 무제한 읽기/쓰기 권한을 얻을 수 있습니다.
💡 쉬운 설명
Vvveb 설정 파일에 데이터베이스 비밀번호가 노출되어 누구나 웹에서 데이터베이스에 접근할 수 있습니다. 이를 통해 회원 정보와 주문 데이터를 도용하거나 조작할 수 있습니다.
🇺🇸 원문 (English)
Vvveb before version 1.0.8.2 contains a hard-coded credentials vulnerability in its docker-compose-apache.yaml configuration that allows unauthenticated attackers to access the bundled phpMyAdmin container with pre-configured database credentials. Attackers can connect to the phpMyAdmin port to gain unrestricted read and write access to the entire Vvveb database, including administrator password hashes, customer personally identifiable information, and order data, enabling account takeover and data manipulation.
📍 영향받는 시스템
Vvveb 1.0.8.2 이전 버전 (docker-compose-apache.yaml 사용 환경)
⚔️ 공격 벡터
phpMyAdmin 포트(기본 80/443)에 접근하여 설정 파일의 하드코딩된 자격증명으로 로그인하여 데이터베이스 직접 조작
🛡️ 대응 방법
Vvveb를 1.0.8.2 이상으로 업그레이드하고 자격증명을 환경변수로 변경하여 설정 파일에서 제거
🔧 검증 코드
phpMyAdmin 로그인 페이지가 반환되면 노출된 상태이고, 403/404가 반환되거나 결과가 없으면 접근이 제한된 것입니다.
curl -s http://localhost/phpmyadmin 2>/dev/null | grep -E 'login|phpmyadmin|username' | head -1