🇰🇷 한글 설명
PHP 기반의 단일 파일 에디터인 Pheditor 2.0.1부터 2.0.6 미만 버전에서 하드코딩된 기본 비밀번호(admin)가 발견되었습니다. 초기 로그인 시 비밀번호 변경을 강제하는 기능이 없어, 기본 계정을 사용하는 경우 공격자가 파일 읽기/쓰기 및 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
프로그램을 설치할 때 설정된 초기 비밀번호가 바뀌지 않고 그대로 남아 있어 누구나 접속할 수 있는 상태입니다. 해커가 이 비밀번호로 접속하면 서버의 파일을 마음대로 조작하거나 명령어를 실행할 수 있습니다.
🇺🇸 원문 (English)
Pheditor is a single-file editor and file manager written in PHP. From version 2.0.1 to before version 2.0.6, Pheditor ships with a hardcoded default password admin (SHA-512 hash stored at pheditor.php:11). There is no mechanism to force a password change on first login. Any deployment using the default credentials grants an attacker full access to the file editor, file upload, and terminal features, enabling arbitrary file read/write and remote code execution. This issue has been patched in version 2.0.6.
📍 영향받는 시스템
Pheditor version 2.0.1 to < 2.0.6
⚔️ 공격 벡터
하드코딩된 기본 관리자 계정(admin)을 이용한 인증 우회 및 권한 탈취
🛡️ 대응 방법
Pheditor를 최신 보안 패치가 적용된 버전인 2.0.6 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.0.6 미만인지 확인하여 취약 여부를 판단합니다.
grep -E 'version' pheditor.php || echo 'Version information not found in pheditor.php'