🇰🇷 한글 설명
Vvveb 1.0.8.2 이전 버전의 관리자 도구/가져오기 기능에 XML 외부 엔티티(XXE) 주입 취약점이 존재합니다. 인증된 사이트 관리자 권한자가 특수 조작된 XML 파일을 업로드하여 system/import/xml.php의 XML 파서 설정을 악용해 서버의 임의 파일을 읽거나 데이터베이스 레코드를 수정할 수 있습니다.
💡 쉬운 설명
Vvveb의 파일 가져오기 기능에서 악의적으로 조작된 XML 파일로 서버의 민감한 파일들을 접근하거나 관리자 계정을 탈취할 수 있는 보안 결함입니다. 관리자 권한이 있는 공격자만 이를 악용할 수 있습니다.
🇺🇸 원문 (English)
Vvveb before version 1.0.8.2 contains an XML external entity (XXE) injection vulnerability in the admin Tools/Import feature that allows authenticated site_admin users to read arbitrary files and modify database records. Attackers can exploit the XML parser configuration in system/import/xml.php to inject file:// or php://filter entity references that are resolved and persisted into the application database, enabling arbitrary file disclosure and administrator password hash overwriting for privilege escalation.
📍 영향받는 시스템
Vvveb version < 1.0.8.2
⚔️ 공격 벡터
Authenticated site_admin uploads malicious XML with XXE payload (file:// or php://filter entities) via Tools/Import feature
🛡️ 대응 방법
Upgrade to Vvveb 1.0.8.2 or later; disable external entity processing in XML parser; validate and sanitize XML input
🔧 검증 코드
파일에서 simplexml_load_file 함수가 발견되면 XXE 보호 기능 확인 필요; 출력 없으면 Vvveb이 설치되지 않았거나 이미 패치된 상태
grep -r 'simplexml_load_file' /var/www/html/system/import/xml.php 2>/dev/null && echo 'Requires version check' || echo 'Not found'