🇰🇷 한글 설명
Quick.CMS의 admin.php 엔드포인트 내 p 파라미터에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 공격자가 조작된 HTTP 요청을 통해 애플리케이션 디렉토리 내의 임의 파일을 포함할 수 있으며, 이를 통해 서버의 디렉토리 구조와 절대 경로가 노출될 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 웹사이트의 특정 기능을 악용하여 서버 내부의 파일 경로를 몰래 알아낼 수 있는 문제입니다. 다만, 공격자가 이미 관리자 권한을 가지고 있어야 하며 보안 업체는 위험도가 매우 낮다고 판단하여 별도의 패치를 제공하지 않습니다.
🇺🇸 원문 (English)
Quick.CMS is vulnerable to Local File Inclusion (LFI) in the admin.php endpoint via the p parameter. An authenticated attacker with admin privileges can include arbitrary files located within the application's directory structure via a crafted HTTP request. Successful exploitation allows disclosure of the server's directory structure and absolute file paths (path disclosure).
The vendor assessed the likelihood of exploitation as very low and determined that a fix is not necessary.
📍 영향받는 시스템
Quick.CMS (admin.php 엔드포인트 사용 버전)
⚔️ 공격 벡터
인증된 관리자가 p 파라미터에 조작된 경로를 입력하여 HTTP 요청을 전송
🛡️ 대응 방법
벤더사에서 수정이 불필요하다고 판단하였으므로, 관리자 계정의 권한 관리를 철저히 하고 불필요한 관리자 접근을 제한하십시오.