🇰🇷 한글 설명
phpBB의 Knowledge Base 모듈 kb.php 파일에 존재하는 SQL injection 취약점으로, cat 매개변수가 제대로 검증되지 않아 원격 공격자가 악의적인 SQL 명령을 삽입할 수 있습니다. 이를 통해 데이터베이스의 민감한 정보를 획득하거나 무단 데이터 수정이 가능합니다.
💡 쉬운 설명
phpBB 게시판의 지식 베이스 검색 기능에서 사용자 입력이 충분히 검증되지 않아, 악의적인 데이터베이스 명령을 주입할 수 있는 보안 결함입니다. 공격자는 이를 이용해 회원 정보나 개인 데이터를 탈취할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in kb.php in the Knowledge Base module for phpBB allows remote attackers to obtain sensitive information and execute SQL commands via the cat parameter.
📍 영향받는 시스템
phpBB Knowledge Base 모듈 2.0.x 이전 버전
⚔️ 공격 벡터
kb.php의 cat 파라미터에 SQL injection 페이로드를 포함한 HTTP 요청 전송
🛡️ 대응 방법
phpBB를 최신 보안 패치가 적용된 버전으로 업그레이드하거나 입력 파라미터에 대한 엄격한 검증 및 SQL 이스케이핑 적용
🔧 검증 코드
kb.php 파일이 발견되면 해당 phpBB 설치 위치를 파악할 수 있으며, 파일이 없으면 해당 취약한 모듈이 제거되었음을 의미합니다.
find / -name 'kb.php' 2>/dev/null | head -5