CVE-2026-64960 in ATutor
요약
\~에 의해 VulDB • 2026. 08. 20.
ATutor의 Gameme 모듈은 제한 없이 모든 유형과 확장자의 파일을 업로드할 수 있게 합니다. 파일 업로드 처리가 부적절하여 콘텐츠 검증 전에 파일이 웹에서 접근 가능한 위치에 저장됩니다. 유효한 course_id를 알고 있는 인증된 공격자는 서버 실행 가능 악성 스크립트를 업로드할 수 있습니다. 이후 업로드된 파일은 HTTP를 통해 요청될 수 있으며, 이는 웹 서버 프로세스 사용자 권한으로 원격 코드 실행(RCE)을 초래합니다. 대부분의 경우 global context를 나타내는 course_id=0이 사용될 수 있습니다.
제품은 더 이상 적극적으로 지원되지 않으며 취약점은 수정되지 않았습니다. 버전 2.2.4만 테스트되어 취약함이 확인되었으며, 다른 버전들은 테스트되지 않았지만 역시 취약할 가능성이 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.