🇰🇷 한글 설명
phpBB의 Calendar 모듈에서 calendar_scheduler.php의 start 파라미터 검증 부재로 발생하는 XSS 취약점입니다. 공격자는 악의적인 JavaScript를 삽입하여 사용자의 브라우저에서 실행하고, 세션 토큰 탈취, 개인정보 수집, 피싱 공격 등을 수행할 수 있습니다. 영향받은 모든 phpBB 사용자의 계정이 위험에 노출될 수 있습니다.
💡 쉬운 설명
phpBB 달력 기능에 입력값 검증이 없어서 누군가 해로운 링크를 만들어 다른 사용자에게 보낼 수 있습니다. 그 링크를 클릭하면 공격자가 그 사용자의 계정을 탈취하거나 정보를 도용할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in the Calendar module for phpBB allow remote attackers to inject arbitrary web script or HTML via the start parameter to calendar_scheduler.php.
📍 영향받는 시스템
phpBB 모든 버전의 Calendar 모듈 (2005년 이전 버전 및 패치되지 않은 버전)
⚔️ 공격 벡터
calendar_scheduler.php의 start 파라미터에 URL 인코딩된 JavaScript 페이로드를 포함한 악의적인 URL 전달
🛡️ 대응 방법
phpBB를 최신 보안 패치 버전으로 즉시 업데이트하거나, 불가능시 calendar_scheduler.php의 모든 입력값에 대해 htmlspecialchars() 또는 유사한 필터 함수 적용
🔧 검증 코드
반환된 라인에서 start 파라미터가 htmlspecialchars(), strip_tags() 등으로 인코딩되지 않으면 취약점이 존재하며, 입력 검증이 있으면 패치됨을 의미합니다.
grep -n 'start' /path/to/phpbb/calendar_scheduler.php 2>/dev/null | grep -E '\$_GET|\$_REQUEST' | head -3