🇰🇷 한글 설명
phpWebLog 0.4.2의 common.inc.php에서 $CONF 배열 초기화 오류로 인해 관리자 비밀번호가 단일 문자로 설정된다. 이로 인해 원격 공격자가 SiteKey를 쉽게 추측하여 관리자 권한을 획득할 수 있는 취약점이다.
💡 쉬운 설명
phpWebLog라는 웹사이트 관리 프로그램의 비밀번호가 1글자로만 설정되어 있어서, 누구나 쉽게 관리자로 접근할 수 있다. 이를 통해 웹사이트를 마음대로 제어할 수 있게 된다.
🇺🇸 원문 (English)
common.inc.php in phpWebLog 0.4.2 does not properly initialize the $CONF array, which inadvertently sets the password to a single character, allowing remote attackers to easily guess the SiteKey and gain administrative privileges to phpWebLog.
📍 영향받는 시스템
phpWebLog 0.4.2
⚔️ 공격 벡터
원격 공격자가 단일 문자 비밀번호 또는 생성 가능한 SiteKey를 반복 시도(brute force)하여 관리자 인증 우회
🛡️ 대응 방법
phpWebLog를 0.4.2 이후 패치된 버전으로 업그레이드하거나 common.inc.php에서 $CONF 배열을 올바르게 초기화
🔧 검증 코드
$CONF 배열 초기화 부분의 소스 코드를 확인하여 비밀번호가 올바르게 설정되었는지 검증
grep -r 'CONF\[' /path/to/phpweblog/common.inc.php 2>/dev/null | head -5