CVE-2026-63190 in FearlessCMS
요약
\~에 의해 VulDB • 2026. 10. 28.
FearlessCMS는 단순함과 오픈 소스를 중시하는 플랫 파일 기반 `content` 관리 시스템입니다. 버전 0.1.4 이전에는 `admin/` 디렉토리 내의 다섯 가지 디버그/테스트 PHP 스크립트가 `isLoggedIn()` 인증 확인, CSRF 보호 또는 적절한 `path` 검증 없이 특권 작업을 수행합니다. 기본 Docker 배포를 포함한 PHP의 빌트인 개발 서버에서는 `router.php`가 정규화되지 않은 관리자 URI 접두사를 검사하는 반면 파일 시스템은 점 세그먼트(dot segments)를 해석하므로 `/./admin/`로 관리자 로그인 게이트를 우회하여 해당 스크립트를 직접 실행할 수 있습니다.
`admin/debug_save_flow.php`에서는 공격자가 제어 가능한 `path` 및 `content`가 `file_put_contents`에 전달되어 임의의 `.md` 파일을 `content/` 디렉토리 내부 또는 외부(`path` 트래버설을 통해)로 작성하며, 이는 사이트 변조와 공개 페이지에 저장된 JavaScript(XSS)를 가능하게 합니다. 또한 `htmlspecialchars` 이스케이프 없이 출력되는 `print_r($_POST)`는 반사형 크로스사이트 스크립팅(reflected XSS)을 유발합니다.
`admin/debug_content.php`의 `path` 매개변수는 `scandir()`, `file_get_contents()` 및 `posix_getpwuid()`에 전달되어 임의 디렉토리 열거와 `.md` 파일 읽기를 허용하며, 이를 통해 절대 경로, 소유자, 권한, 해시 값 및 `content` 미리보기가 노출됩니다.
`admin/preview-handler.php` 엔드포인트는 JSON 형식의 `content` 및 `title`을 받아들이며 `content/_preview/` 아래에 열거 가능한 파일을 작성하여 저장형 크로스사이트 스크립팅(stored XSS)과 디스크 고갈(disk exhaustion)을 유발할 수 있습니다. 또한 `admin/testdebug.php` 엔드포인트는 인증 없이 `admin/testdebug.log` 파일에 데이터를 추가하므로 역시 디스크 고갈을 초래합니다.
`admin/test_redirect.php` 스크립트는 테스트용 아티팩트를 노출하지만 입력값은 이스케이프 처리되어 있으며 자체적으로 XSS 싱크(sink)가 되지는 않습니다. 저장된 스크립트 실행 시 세션이 탈취되고 관리자가 영향을 받는 `content`를 조회할 때 관리자 계정이 침해될 수 있습니다. 읽기 및 쓰기 작업은 PHP의 권한으로 실행되며, 테스트된 배포 환경에서는 PHP가 루트(root)로 실행되어 파일 시스템 영향력이 증폭됩니다. 이 문제는 버전 0.1.4에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.