LMFDB 지식 문서 렌더링에서 인증 없이 원격 코드 실행 가능
로그인 없이 누구나 LMFDB 웹 서버를 마음대로 다룰 수 있습니다!
요약
LMFDB 웹사이트의 지식 문서 렌더링 기능에 템플릿 주입 결함이 있어, 로그인하지 않은 공격자가 웹 서버 계정 권한으로 운영체제 명령을 실행할 수 있습니다. 01829bd 커밋 이전 버전이 해당합니다.
해당 조건
- 01829bd 커밋 이전 버전
대처법
01829bd09b692c720aad30c952758a20630573d4 커밋 이후 코드로 업데이트하세요. 직접 운영한다면 공지된 수정 상태를 확인하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: github.com (새 탭에서 열림)
- 분석 글: github.com (새 탭에서 열림) · vulncheck.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인