CVE-2026-21857: Redaxo 백업 애드온의 경로 탐색으로 인한 임의 파일 읽기

개요

필드	세부 정보
CVE ID	CVE-2026-21857
심각도	HIGH
권고	권고 보기
발견자	Lukasz Rybak

영향을 받는 제품

redaxo/source (버전: <= 5.20.1)

CWE 분류

CWE-22: 제한된 디렉터리에 대한 경로명 제한 미흡('경로 탐색')
CWE-24: 경로 탐색: '../filedir'

상세 정보

요약

백업 권한이 있는 인증된 사용자는 Backup 애드온의 파일 내보내기 기능에서 경로 탐색을 통해 웹 루트 내의 임의 파일을 읽을 수 있습니다.

세부 사항

Backup 애드온은 UI가 생성한 허용 디렉터리 목록(allowlist)에 대해 EXPDIR POST 매개변수를 검증하지 않습니다.
공격자는 ../ 시퀀스가 포함된 상대 경로(또는 문서 루트 내부의 절대 경로)를 제공하여 읽기 가능한 모든 파일을 생성된 .tar.gz 아카이브에 포함시킬 수 있습니다.

취약한 코드:

redaxo/src/addons/backup/pages/export.php (72-76행) – $_POST['EXPDIR']를 직접 사용
redaxo/src/addons/backup/lib/backup.php (~413행 및 ~427행) – 검증되지 않은 사용자 입력을 기본 경로와 연결

이를 통해 다음과 같은 민감한 파일이 노출될 수 있습니다:

redaxo/data/core/config.yml → 데이터베이스 자격 증명 + 모든 백엔드 사용자의 비밀번호 해시
.env, 사용자 정의 구성 파일, 로그, 업로드된 악성 파일 등

영향을 받는 버전

≤ 5.20.1 (동작 확인됨)

패치된 버전

없음 (2025-12-09 기준)

PoC – 데이터베이스 자격 증명 및 비밀번호 해시 추출

백업 권한이 있는 사용자로 로그인
백업 → 내보내기 → 파일로 이동

Burp Suite로 요청 가로채기

하나의 EXPDIR[] 값을 ../../../../var/www/html/redaxo/data/core로 변경

요청 전송 → 아카이브 다운로드
압축 해제 후 data/core/config.yml 열기

결과: 평문 데이터베이스 비밀번호

영향

REDAXO 설치 전체가 손상될 수 있습니다:

데이터베이스 탈취
비밀번호 해시 추출 → 오프라인 크래킹 → 관리자 접근
다른 취약점과 결합 시 → 원격 코드 실행(RCE)

CVSS 4.0 벡터 및 점수는 아래와 같습니다.

크레딧

발견자: Łukasz Rybak

참조

면책 조항

이 CVE는 조정된 취약점 공개(coordinated vulnerability disclosure) 절차에 따라 책임 있게 공개되었습니다. 여기에 제공된 정보는 교육 및 방어 목적으로만 사용됩니다.

CVE-2026-21857

인기