🇰🇷 한글 설명
Scramble은 Laravel용 API 문서 생성 도구인데, 0.13.2부터 0.13.22 이전 버전에서 공개 문서 엔드포인트와 사용자 입력 참조 검증 규칙이 결합될 때 요청 데이터가 평가되면서 임의의 PHP 코드 실행이 가능해집니다. 버전 0.13.22에서 수정되었습니다.
💡 쉬운 설명
Laravel API 문서 생성 도구의 버그로 인해 공개된 문서 페이지를 통해 악의적인 명령어를 실행할 수 있습니다. 공격자가 서버를 완전히 제어하고 데이터를 탈취할 수 있습니다.
🇺🇸 원문 (English)
Scramble generates API documentation for Laravel project. From 0.13.2 to before 0.13.22, when documentation endpoints are publicly accessible and validation rules reference user-controlled input, request supplied data may be evaluated during documentation generation, leading to execution of arbitrary PHP code in the application context. This vulnerability is fixed in 0.13.22.
📍 영향받는 시스템
Scramble 0.13.2 ~ 0.13.21 (Laravel API documentation generator)
⚔️ 공격 벡터
공개적으로 접근 가능한 API 문서 엔드포인트에 특수하게 조작된 요청을 전송하여 PHP 코드 실행 유발
🛡️ 대응 방법
Scramble을 0.13.22 이상으로 업그레이드하거나 문서 엔드포인트를 인증으로 보호
🔧 검증 코드
Scramble 패키지 버전을 확인합니다; 0.13.22 미만이면 취약하므로 즉시 업그레이드 필요
composer show scramble 2>/dev/null | grep -i version