🇰🇷 한글 설명
phpBB의 취약점으로 인해 관리자 패널 권한을 가진 인증된 원격 사용자가 임의의 PHP 코드를 실행할 수 있습니다. 공격자는 조작된 폰트 색상 3($theme[fontcolor3] 변수) 또는 서명 값을 통해 이를 수행하며, 하이라이트 기능이 이용될 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 설정창에 특수한 코드를 입력하여 서버를 마음대로 조종할 수 있는 취약점입니다. 권한이 있는 내부 사용자에 의한 공격 위험이 있습니다.
🇺🇸 원문 (English)
Unspecified vulnerability in phpBB allows remote authenticated users with Administration Panel access to execute arbitrary PHP code via crafted Font Colour 3 ($theme[fontcolor3] variable) and/or signature values, possibly involving the highlight functionality. NOTE: the original report does not clarify whether this issue is static code injection, eval injection, or another type of vulnerability.
📍 영향받는 시스템
phpBB 구버전 (CVE-2006-1896 영향 버전)
⚔️ 공격 벡터
관리자 패널의 폰트 색상 설정 또는 서명 입력란에 악성 PHP 코드 주입
🛡️ 대응 방법
phpBB를 최신 보안 패치가 적용된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
결과에 fontcolor3 변수가 위험한 함수(eval 등)와 함께 사용되는 코드가 출력되면 취약할 가능성이 큽니다.
grep -r "fontcolor3" /var/www/html/phpBB | grep -E "eval|include|require"