🇰🇷 한글 설명
phpBB 2.0.0에서 발견된 교차 사이트 스크립팅(XSS) 취약점으로, [IMG] 태그에 http:// 프로토콜과 큰따옴표(")를 포함시켜 보안 검사를 우회할 수 있습니다. 공격자는 이를 통해 다른 phpBB 사용자의 계정에서 JavaScript를 실행하여 세션 탈취 등의 피해를 야기할 수 있습니다.
💡 쉬운 설명
phpBB 게시판의 이미지 첨부 기능에서 특수한 코드를 숨겨 다른 사용자의 계정으로 악의적인 스크립트를 실행할 수 있는 보안 구멍입니다. 개인정보 유출이나 계정 탈취 등의 심각한 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting vulnerability in phpBB 2.0.0 (phpBB2) allows remote attackers to execute Javascript as other phpBB users by including a http:// and a double-quote (") in the [IMG] tag, which bypasses phpBB's security check, terminates the src parameter of the resulting HTML IMG tag, and injects the script.
📍 영향받는 시스템
phpBB 2.0.0 및 그 이전 버전
⚔️ 공격 벡터
[IMG] 태그 내 http://와 큰따옴표를 조합하여 입력 검증 우회 후 IMG 태그의 src 파라미터를 종료하고 JavaScript 삽입
🛡️ 대응 방법
phpBB를 최신 패치 버전(2.0.11 이상)으로 즉시 업데이트하고 사용자 입력값에 대한 강화된 검증 및 이스케이프 처리 적용
🔧 검증 코드
명령어가 phpBB 버전 파일을 찾아 2.0.0 버전 정보를 표시하면 즉시 업데이트 필요, 파일을 찾지 못하면 취약한 버전의 phpBB가 설치되지 않은 상태
grep -i '2\.0\.0\|phpbb_version' /var/www/html/includes/constants.php 2>/dev/null || find /var/www -path '*/phpbb*/includes/constants.php' -exec grep -l '2\.0' {} \; 2>/dev/null | head -1