🇰🇷 한글 설명
itsourcecode Online Medicine Delivery System 1.0의 Order Management Controller 내 doInsert 함수에서 보안 결함이 발견되었습니다. image 인자를 조작하여 제한 없는 파일 업로드가 가능하며, 원격 공격자가 이를 악용할 수 있습니다. 현재 공격 코드가 공개되어 있어 실제 공격에 사용될 위험이 높습니다.
💡 쉬운 설명
약 배달 시스템의 특정 기능에서 허가되지 않은 파일을 마음대로 올릴 수 있는 취약점이 발견되었습니다. 해커가 이 구멍을 통해 악성 프로그램을 서버에 설치할 수 있으므로 주의가 필요합니다.
🇺🇸 원문 (English)
A security flaw has been discovered in itsourcecode Online Medicine Delivery System 1.0. The affected element is the function doInsert of the file /rider/orders/controller.php?action=add of the component Order Management Controller. Performing a manipulation of the argument image results in unrestricted upload. Remote exploitation of the attack is possible. The exploit has been released to the public and may be used for attacks.
📍 영향받는 시스템
itsourcecode Online Medicine Delivery System 1.0
⚔️ 공격 벡터
HTTP 요청의 image 인자 조작을 통한 원격 파일 업로드
🛡️ 대응 방법
파일 업로드 시 확장자 및 MIME 타입을 검증하는 로직을 추가하고, 업로드 디렉토리의 실행 권한을 제거하십시오.
🔧 검증 코드
해당 경로에 대한 접근 가능 여부를 확인하여 취약한 엔드포인트의 활성화 상태를 점검합니다.
curl -s -I http://<target_ip>/rider/orders/controller.php?action=add | grep -E 'HTTP/1.1 200 OK'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
💻 영향받는 소프트웨어
Cisco Integrated Management Controller