🇰🇷 한글 설명
Bagisto 2.3.15 이하 버전의 Downloadable Link Handler 컴포넌트에서 SSRF(Server-Side Request Forgery) 취약점이 발견되었습니다. 공격자가 원격으로 악의적인 요청을 서버에서 실행하도록 강제할 수 있으며, 이미 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
Bagisto의 파일 다운로드 기능에서 공격자가 서버를 통해 임의의 웹사이트에 요청을 보낼 수 있습니다. 내부 서버 접근이나 데이터 유출로 이어질 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in Bagisto up to 2.3.15. Affected is the function copy of the component Downloadable Link Handler. The manipulation results in server-side request forgery. The attack may be launched remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure and explains: "We already replied on the github advisories. All the security issues are addressed through security advisory. We will fix this in our upcomming releases."
📍 영향받는 시스템
Bagisto up to 2.3.15
⚔️ 공격 벡터
원격 HTTP 요청을 통해 Downloadable Link Handler의 copy 함수를 조작하여 SSRF 실행
🛡️ 대응 방법
Bagisto를 2.3.16 이상의 최신 보안 패치 버전으로 즉시 업그레이드
🔧 검증 코드
bagisto 패키지의 버전이 2.3.15 이하면 취약함. 2.3.16 이상이면 패치됨
grep -r '"version"' composer.lock 2>/dev/null | grep -i bagisto | head -1