🇰🇷 한글 설명
Vvveb 1.0.8.3 미만 버전에서 디렉토리 리스팅 정보 노출 취약점이 발견되었습니다. 인증되지 않은 공격자가 .htaccess 파일의 인덱스 지시어 부재를 악용하여 관리자 자산, 플러그인, 테마 및 미디어 폴더 내의 파일 목록과 민감한 경로 정보를 열람할 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 폴더에 들어갔을 때 파일 목록이 마치 컴퓨터 폴더처럼 그대로 보이는 보안 허점입니다. 이를 통해 해커는 관리자 파일이나 중요한 설정 파일의 이름을 알아내어 다음 공격에 활용할 수 있습니다.
🇺🇸 원문 (English)
Vvveb before 1.0.8.3 contains a directory listing information disclosure vulnerability that allows unauthenticated attackers to enumerate files and directories by accessing multiple paths lacking proper index directives in .htaccess files. Attackers can access directories such as admin asset paths, plugins, themes, and media folders to view filenames, file sizes, modification timestamps, and unrendered admin templates containing sensitive route maps.
📍 영향받는 시스템
Vvveb version < 1.0.8.3
⚔️ 공격 벡터
인증되지 않은 공격자가 적절한 인덱스 설정이 없는 디렉토리 경로에 직접 접근하여 파일 목록을 열람함
🛡️ 대응 방법
Vvveb를 1.0.8.3 이상 버전으로 업데이트하거나 .htaccess 파일에 Options -Indexes 설정을 추가하여 디렉토리 리스팅을 차단함
🔧 검증 코드
명령어 실행 시 HTTP 응답 결과에 디렉토리 목록이 노출되거나 파일 리스트가 출력되면 취약한 상태입니다.
curl -s -I http://<target_url>/admin/assets/ | grep -i 'Directory' || echo 'Directory listing might be disabled'