🚨 CVE-2026-42569 - phpVMS 미인증 데이터베이스 초기화

phpVMS의 인증되지 않은 데이터베이스 초기화 / 파괴적 가져오기

📌 개요

CVE-2026-42569는 phpVMS(Virtual Airline Management System)의 치명적인 취약점으로, 인증되지 않은 공격자가 레거시 가져오기 엔드포인트에 접근할 수 있게 합니다.

이 엔드포인트는 제한되어야 했지만 ≤ 7.0.5 버전에서는 여전히 접근 가능하여, 공격자가 대량 삭제 또는 데이터베이스 초기화 작업을 유발할 수 있습니다.

🛠 영향을 받는 버전

⚠️ 영향

• 인증되지 않은 접근
• 항공편, 사용자, 스케줄 및 기타 중요 데이터의 대량 삭제
• 전체 데이터베이스 초기화 가능 (TRUNCATE / DELETE 작업)
• 가상 항공사 시스템의 완전한 침해

🧪 PoC 사용법

python3 CVE-2026-42569.py http://target.com

예시 출력 (성공):

[+] SUCCESS! Endpoint reachable: /importer
[!!] Target is VULNERABLE to CVE-2026-42569
[!!] Database wipe / mass deletion is possible!

🛡️ 완화 조치

1. 즉시 업데이트하여 phpVMS 7.0.6 이상으로 이동하세요.
2. /importer 및 /import 엔드포인트에 대한 접근을 제거하거나 제한하세요.
3. 웹 서버(Nginx/Apache)에서 레거시 가져오기 경로에 대한 접근을 차단하세요.
4. 데이터베이스를 정기적으로 백업하세요.

🔧 빠른 임시 조치 (Nginx)

location ~* ^/(importer|import) {
    deny all;
    return 403;
}

⚠️ 면책 조항

이 저장소는 교육 및 승인된 보안 테스트 용도로만 제공됩니다.
저자는 이 도구로 인한 오용 또는 피해에 대해 책임지지 않습니다.
승인되지 않은 악용은 불법입니다.