CVE-2026-53787 - Amasty Order Attributes 무인증 파일 업로드

설명

CVE-2026-53787은 Magento 2 버전 4.0.0 미만의 Amasty Order Attributes 확장 프로그램에서 발견된 치명적인 무인증 임의 파일 업로드 취약점입니다. 이 취약점으로 인해 공격자는 인증, 세션 검증 또는 장바구니 컨텍스트 없이 모든 유형이나 이름의 파일을 스토어의 미디어 디렉터리에 업로드할 수 있습니다.

영향

이 공격은 자격 증명이 필요 없으며 네트워크를 통해 실행할 수 있습니다. 이 취약점의 CVSS 점수는 9.8(치명적)입니다. 성공적인 악용은 다음으로 이어질 수 있습니다:

• 미디어 디렉터리에서 PHP 실행이 허용된 경우 원격 코드 실행(RCE)으로 이어져 공격자에게 서버 전체 제어 권한을 부여합니다
• 신뢰할 수 있는 도메인을 이용한 악성코드 호스팅
• HTML 또는 SVG 업로드를 통한 저장형 사이트 간 스크립팅(XSS)
• 의도된 업로드 디렉터리 외부에 파일을 쓰기 위한 경로 탐색 공격

영향을 받는 엔드포인트

이 취약점은 다음 REST 엔드포인트를 대상으로 합니다:

POST /rest/V1/amasty_orderattr/uploadFile
POST /rest/all/V1/amasty_orderattr/uploadFile
POST /rest/default/V1/amasty_orderattr/uploadFile

악용 활동

대규모 악용은 2026년 6월 12일 패치가 배포된 지 몇 시간 만에 시작되었습니다. 6월 15일까지 전체 Magento 스토어의 25%를 대상으로 12,000건 이상의 악용 시도가 감지되었습니다.

해결 방법

• Amasty Order Attributes를 버전 4.0.0 이상으로 업그레이드합니다
• 미디어 디렉터리에서 PHP 실행을 비활성화하도록 웹 서버를 구성합니다
• 엄격한 파일 업로드 검증 및 확장자 허용 목록을 구현합니다