🇰🇷 한글 설명
Lara Dashboard 1.3.2 미만 버전에서 MarketplaceModuleBrowser의 installModule Livewire 작업에 대한 권한 검증이 누락되었습니다. 이로 인해 슈퍼관리자가 아닌 일반 관리자도 모듈을 설치할 수 있으며, 공격자는 서명되지 않은 HTTP 요청을 통해 임의의 PHP 모듈을 다운로드하고 자동 활성화하여 원격 코드 실행(RCE)을 달성할 수 있습니다.
💡 쉬운 설명
관리자 권한이 낮은 사용자가 허가되지 않은 프로그램을 설치할 수 있는 보안 결함입니다. 해커가 악성 프로그램을 몰래 설치하여 컴퓨터를 원격으로 조종할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Lara Dashboard before 1.3.2 fails to authorize the MarketplaceModuleBrowser installModule Livewire action, allowing non-Superadmin administrators to install modules. Attackers can download and auto-activate arbitrary PHP modules from the marketplace over unsigned HTTP requests, achieving remote code execution.
📍 영향받는 시스템
Lara Dashboard 1.3.2 미만 버전
⚔️ 공격 벡터
권한이 낮은 관리자 계정을 이용해 서명되지 않은 HTTP 요청으로 악성 PHP 모듈을 설치 및 실행
🛡️ 대응 방법
Lara Dashboard를 1.3.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.3.2 미만인지 확인하여 취약 여부를 판단합니다.
php artisan --version | grep -E 'Lara Dashboard'