🇰🇷 한글 설명
Vvveb 1.0.8.3 이전 버전의 관리자 컨트롤러에서 Base::init() 함수가 에러 핸들러의 권한 확인을 반복 호출하여 무한 재귀를 일으킨다. 이는 PHP 메모리를 고갈시켜 모든 워커 프로세스를 마비시킨다. 낮은 권한의 계정도 금지된 관리자 URL에 지속적인 요청을 보내어 정상 트래픽을 거부할 수 있다.
💡 쉬운 설명
공격자가 관리자 페이지에 반복 요청을 보내면 서버가 계속 확인하다가 메모리가 가득 차버린다. 그 결과 다른 사용자들이 서비스를 이용할 수 없게 된다.
🇺🇸 원문 (English)
Vvveb before 1.0.8.3 contains an uncontrolled recursion vulnerability in the admin controller dispatch cycle where Base::init() repeatedly invokes permission() on error handlers, causing infinite recursion until PHP memory limits are exhausted. Attackers can send sustained requests to forbidden admin URLs from a low-privilege account to exhaust PHP memory on all workers and cause denial of service to legitimate traffic.
📍 영향받는 시스템
Vvveb 1.0.8.2 이하 버전
⚔️ 공격 벡터
낮은 권한 계정에서 금지된 관리자 URL로 지속적인 요청을 전송하여 무한 재귀 유발
🛡️ 대응 방법
Vvveb을 1.0.8.3 이상의 버전으로 업그레이드
🔧 검증 코드
버전 번호가 1.0.8.3 미만이면 취약 상태, 1.0.8.3 이상이면 패치됨
npm list vvveb 2>/dev/null | head -2