🇰🇷 한글 설명
phpBB 2.0.x의 IP-Tracking Mod에서 IP-Search 기능의 SQL injection 취약점으로, 인증된 관리자가 Search Query 필드를 통해 임의의 SQL 명령어를 실행할 수 있다. 이는 데이터베이스의 무단 접근, 수정, 삭제 등의 피해를 초래할 수 있다.
💡 쉬운 설명
phpBB 포럼 소프트웨어의 IP 검색 기능에 결함이 있어서, 관리자 권한자가 악의적인 명령어로 데이터베이스를 조작할 수 있다. 이 공격은 관리자 권한이 필요하므로 일반 사용자는 직접 공격할 수 없다.
🇺🇸 원문 (English)
SQL injection vulnerability in the IP-Search functionality in the IP-Tracking Mod for phpBB 2.0.x allows remote authenticated administrators to execute arbitrary SQL commands via the Search Query field.
📍 영향받는 시스템
phpBB 2.0.x with IP-Tracking Mod installed
⚔️ 공격 벡터
Authenticated administrator injects malicious SQL code into the IP-Search Query field parameter
🛡️ 대응 방법
Update phpBB to version 2.0.23 or later and update/remove IP-Tracking Mod or apply input validation patches
🔧 검증 코드
phpBB 설치 경로에서 2.0.x 버전을 확인하고, IP-Tracking Mod 디렉토리(/includes/mods/ip_track 등)가 존재하면 취약함
grep -r "PHPBB_VERSION\|\$version" /var/www/html/phpbb 2>/dev/null | grep -E '2\.0\.[0-9]+'