🇰🇷 한글 설명
phpBB와 Invision Power Board용 Multi-Forums 모듈 1.3.3의 directory.php 파일에 다중 SQL 인젝션 취약점이 존재합니다. go와 cat 파라미터를 통해 원격 공격자가 임의의 SQL 명령어를 실행할 수 있으며, 데이터베이스 탈취, 변조, 삭제 등이 가능합니다.
💡 쉬운 설명
오래된 포럼 확장 프로그램에 SQL 인젝션 보안 결함이 있어 해커가 데이터베이스에 직접 접근할 수 있습니다. 웹 요청의 특정 매개변수에 악의적인 SQL 코드를 삽입하면 공격이 성공합니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in directory.php in the Multi-Forums (aka Multi Host Forum Pro) module 1.3.3, for phpBB and Invision Power Board (IPB or IP.Board), allow remote attackers to execute arbitrary SQL commands via the (1) go and (2) cat parameters.
📍 영향받는 시스템
Multi-Forums 1.3.3 (phpBB 및 IP.Board용 모듈)
⚔️ 공격 벡터
HTTP GET/POST 요청의 go, cat 파라미터에 SQL 페이로드 삽입
🛡️ 대응 방법
Multi-Forums 모듈 업데이트 또는 input sanitization/parameterized queries 적용 필요
🔧 검증 코드
취약한 directory.php 파일의 위치가 반환되면 해당 파일의 go/cat 파라미터 처리 로직에서 SQL 이스케이핑 부재 확인
find / -name 'directory.php' -path '*multi*forum*' 2>/dev/null | head -5