🇰🇷 한글 설명
phpBB 2.0.6의 privmsg.php 파일에서 folder와 mode 변수에 대한 입력 검증이 부족하여 발생하는 XSS 취약점입니다. 공격자는 이 변수들에 악성 스크립트를 삽입하여 사용자 브라우저에서 임의의 JavaScript 코드를 실행할 수 있습니다.
💡 쉬운 설명
phpBB 게시판의 개인메시지 기능에서 사용자 입력을 제대로 확인하지 않아 발생합니다. 악의적인 코드를 입력하면 다른 사용자들의 브라우저에서 원치 않은 스크립트가 실행될 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in privmsg.php in phpBB 2.0.6 allow remote attackers to execute arbitrary script or HTML via the (1) folder or (2) mode variables.
⚔️ 공격 벡터
folder 또는 mode URL 파라미터에 <script>, <img onerror=>, <svg onload=> 등의 XSS 페이로드를 삽입하여 공격
🛡️ 대응 방법
phpBB를 2.0.7 이상으로 즉시 업그레이드하거나, 입력값 검증 및 HTML 특수문자 이스케이핑 패치 적용
🔧 검증 코드
설치된 phpBB의 privmsg.php 파일 위치가 반환되면 해당 버전을 확인하여 2.0.6인지 검증
find / -name 'privmsg.php' 2>/dev/null | xargs grep -l 'phpbb' | head -1