🇰🇷 한글 설명
Joomla의 Sourcerer 확장 프로그램에서 다양한 코드 주입 취약점이 발견되었습니다. 무료 버전은 PHP 실행 시 작성자와 수정자 모두 슈퍼 유저일 것을 요구하지 않았으며, 유료 버전 또한 설정된 권한을 일관되게 강제하지 못해 PHP 포함 경로 우회 및 실행 가능한 스크립트 탐지 우회가 가능합니다.
💡 쉬운 설명
웹사이트 관리 도구인 Sourcerer의 보안 허점으로 인해, 권한이 낮은 사용자가 악성 코드를 삽입하여 서버를 장악할 수 있습니다. 공격자가 설정된 보안 규칙을 피해 시스템 내부 파일에 접근하거나 임의의 명령을 실행할 수 있는 위험한 상태입니다.
🇺🇸 원문 (English)
Joomla Extension - regularlabs.com - various code injection vectors in Sourcerer extension - Free did not require both the article creator and last modifier to be Super Users before executing article PHP. Pro did not consistently enforce configured CSS, JavaScript and PHP permissions across tags, attributes, files and both article owners. PHP include attributes could also escape the configured include folder, and executable script/style variants could bypass detection.
📍 영향받는 시스템
Joomla Sourcerer Extension (Free 및 Pro 버전)
⚔️ 공격 벡터
권한 검증 미흡을 이용한 PHP 코드 주입 및 파일 포함(LFI) 경로 우회 공격
🛡️ 대응 방법
Sourcerer 확장 프로그램을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약점이 해결된 최신 버전인지 제조사의 보안 공지와 대조하여 확인하십시오.
composer show regularlabs/sourcerer 2>/dev/null | grep -E 'versions'