🇰🇷 한글 설명
Pluck CMS 4.7.21 이하 버전의 관리자 파일 관리 기능에서 위험한 파일 업로드를 제한하는 블랙리스트 방식에 취약점이 존재합니다. 파일명의 마지막 4~5글자만을 검사하는 불완전한 필터링 방식 때문에 블랙리스트를 우회하여 악성 파일을 업로드할 수 있습니다.
💡 쉬운 설명
웹사이트 관리 도구에서 허용되지 않은 파일을 올리지 못하게 막는 규칙이 너무 허술합니다. 공격자가 파일 이름의 끝부분을 교묘하게 조작하면 차단을 피해 악성 프로그램을 서버에 설치할 수 있습니다.
🇺🇸 원문 (English)
Pluck CMS through 4.7.21 restricts dangerous file uploads in its admin file-management feature using a fixed blacklist in data/inc/files.php ('.php','php3','php4','php5','php6','php7','phtml','.phtm','.pht','.ph3','.ph4','.ph5','.asp','.cgi','.phar'), checked against the last 4-5 characters of the filename.
📍 영향받는 시스템
Pluck CMS 4.7.21 및 그 이전 버전
⚔️ 공격 벡터
블랙리스트 필터링을 우회하는 파일 확장자 조작을 통한 악성 파일 업로드
🛡️ 대응 방법
Pluck CMS를 최신 버전으로 업데이트하거나, 블랙리스트 방식 대신 화이트리스트 기반의 확장자 검증 방식으로 보안 로직을 수정해야 합니다.
🔧 검증 코드
명령어 실행 결과로 해당 블랙리스트 문자열이 포함된 코드가 출력되면 취약한 버전일 가능성이 높습니다.
grep -r "'.php','php3','php4','php5','php6','php7','phtml','.phtm','.pht','.ph3','.ph4','.ph5','.asp','.cgi','.phar'" data/inc/files.php