🇰🇷 한글 설명
phpBB 2.0.18에서 'Allowed HTML tags' 기능이 활성화된 경우, 허용된 HTML 태그 내에 따옴표와 onmouseover 같은 이벤트 속성을 조합하여 임의의 JavaScript 코드를 주입할 수 있는 XSS 취약점입니다. 공격자는 이를 통해 게시판 사용자의 브라우저에서 악의적인 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
phpBB 게시판에서 HTML 태그 사용이 허용되었을 때, 공격자가 숨겨진 악의적인 코드를 삽입할 수 있습니다. 다른 사용자들이 게시물을 볼 때 그 코드가 자동으로 실행됩니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in phpBB 2.0.18, when "Allowed HTML tags" is enabled, allows remote attackers to inject arbitrary Javascript via a permitted HTML tag with " (quote) characters and active attributes such as onmouseover.
📍 영향받는 시스템
phpBB 2.0.18 및 이전 버전 (Allowed HTML tags 기능 활성화된 경우)
⚔️ 공격 벡터
게시글이나 댓글에 특수 문자와 이벤트 핸들러를 포함한 HTML을 입력하여 JavaScript 코드 주입
🛡️ 대응 방법
phpBB를 최신 버전으로 업그레이드하거나 Allowed HTML tags 기능 비활성화
🔧 검증 코드
명령어 실행 후 phpBB 2.0.18 버전 정보가 출력되면 취약한 버전이 설치된 것이며, 출력이 없으면 해당 버전이 없거나 이미 업데이트된 상태입니다.
grep -r "phpBB 2.0.18" /var/www 2>/dev/null | head -1