CVE-2025-58180 in OctoPrint
요약
\~에 의해 VulDB • 2026. 07. 23.
OctoPrint는 소비자용 3D 프린터를 제어하기 위한 웹 인터페이스를 제공합니다. 버전 1.11.2 이하의 OctoPrint에는 인증된 공격자가 특별히 조작된 파일명을 사용하여 파일을 업로드할 수 있는 취약점이 존재하며, 해당 파일명이 시스템 이벤트 핸들러에서 정의된 명령어에 포함되고 해당 이벤트가 트리거될 경우 임의의 코드 실행이 가능해집니다. 업로드된 파일명을 매개변수로 사용하는 시스템 명령어를 실행하는 이벤트 핸들러가 구성되어 있지 않은 경우 이 취약점은 영향을 미치지 않습니다. 이 취약점은 버전 1.11.3에서 패치되었습니다. 우회 조치로, 파일명 기반 플레이스홀더를 포함하는 이벤트 핸들러가 구성된 OctoPrint 관리자는 해당 핸들러의 `enabled` 속성을 `False`로 설정하거나 GUI 기반 Event Manager에서 "Enabled" 체크박스를 선택 해제하여 비활성화해야 합니다. 또는 OctoPrint 관리자는 `config.yaml` 파일에서 `feature.enforceReallyUniversalFilenames`를 `true`로 설정하고 OctoPrint를 재시작한 후 기존 업로드 파일을 검토하여 의심스러운 파일은 삭제해야 합니다. 항상 그렇듯, OctoPrint 관리자는 공개 인터넷과 같은 적대적인 네트워크에 OctoPrint를 노출하지 말고 인스턴스에 대한 접근 권한을 가진 사용자를 신중하게 선별할 것을 권장합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.