🇰🇷 한글 설명
Plesk의 APS 애플리케이션 카탈로그 검색 기능에서 사용자 입력값이 적절한 검증 없이 XPath 쿼리에 삽입되는 XPath 인젝션 취약점이 발견되었습니다. 이를 통해 인증된 저권한 사용자가 서버에서 임의의 운영체제 명령을 실행하여 로컬 권한 상승을 수행할 수 있습니다.
💡 쉬운 설명
Plesk 프로그램의 검색창에 특수 문자를 입력하여 시스템을 조작할 수 있는 보안 약점입니다. 이를 이용하면 권한이 낮은 사용자가 관리자 권한을 탈취하여 서버를 마음대로 제어할 수 있습니다.
🇺🇸 원문 (English)
Plesk contains an XPath injection vulnerability in the APS Application Catalog search functionality, where user-supplied input is interpolated into XPath queries without proper sanitization. This allows an authenticated, low-privileged user to execute arbitrary operating system commands on the server, resulting in local privilege escalation.
📍 영향받는 시스템
Plesk APS Application Catalog 기능을 사용하는 모든 버전
⚔️ 공격 벡터
인증된 저권한 사용자가 검색창에 조작된 XPath 쿼리를 입력하여 공격
🛡️ 대응 방법
Plesk 보안 패치 적용 및 입력값 검증 로직 업데이트
🔧 검증 코드
설치된 Plesk 버전을 확인한 후, 해당 버전이 최신 보안 패치가 적용된 버전인지 제조사 공지사항과 대조하여 확인합니다.
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server