🇰🇷 한글 설명
phpBB2 Plus 1.53 버전의 Acronym Mod 0.9.5에서 admin/admin_acronyms.php 파일의 id 파라미터에 대한 SQL injection 취약점이 존재합니다. 원격 공격자가 악의적인 SQL 명령어를 실행할 수 있어 데이터베이스가 완전히 노출될 수 있습니다.
💡 쉬운 설명
phpBB 포럼의 두문자(Acronym) 관리 기능에서 사용자가 악성 코드를 입력하여 관리자 데이터베이스를 훔치거나 변조할 수 있습니다. 이는 포럼의 모든 사용자 정보와 개인데이터가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in admin/admin_acronyms.php in the Acronym Mod 0.9.5 for phpBB2 Plus 1.53 allows remote attackers to execute arbitrary SQL commands via the id parameter.
📍 영향받는 시스템
phpBB2 Plus 1.53 + Acronym Mod 0.9.5
⚔️ 공격 벡터
admin/admin_acronyms.php의 id 파라미터에 SQL 쿼리 문자열을 삽입하여 공격
🛡️ 대응 방법
Acronym Mod를 최신 버전으로 업그레이드하거나 입력값 검증(prepared statements) 구현 및 phpBB 보안 패치 적용
🔧 검증 코드
admin_acronyms.php 파일에서 id 파라미터를 제대로 필터링 없이 SQL 쿼리에 사용하면 취약함 (파일 발견 시), 파일이 없거나 최신 보안 코드면 안전함
find /var/www -name 'admin_acronyms.php' -type f 2>/dev/null | head -1 | xargs grep -l 'id.*\$_' 2>/dev/null || echo 'Not vulnerable'