🇰🇷 한글 설명
Flat PHP Board 1.2 이하 버전의 index.php에서 사용자 등록 시 username, password, email 파라미터를 통해 임의의 PHP 코드를 직접 삽입할 수 있는 정적 코드 인젝션 취약점입니다. 삽입된 코드는 공격자가 해당 사용자의 PHP 파일에 접근하여 실행될 수 있습니다.
💡 쉬운 설명
Flat PHP Board 웹사이트의 회원가입 폼에서 악의적인 코드를 삽입할 수 있는 보안 취약점입니다. 공격자는 이 코드를 통해 웹서버를 완전히 제어할 수 있습니다.
🇺🇸 원문 (English)
Direct static code injection vulnerability in index.php in Flat PHP Board 1.2 and earlier allows remote attackers to inject arbitrary PHP code via the (1) username, (2) password, and (3) email parameters when registering a user account, which can be executed by accessing the user's php file for this account. NOTE: similar code injection might be possible in a user profile.
📍 영향받는 시스템
Flat PHP Board version 1.2 and earlier
⚔️ 공격 벡터
Remote attacker injects PHP code via username, password, or email parameters during user account registration
🛡️ 대응 방법
Upgrade to Flat PHP Board version 1.3 or later and implement strict input validation and sanitization for all user inputs
🔧 검증 코드
If output shows version 1.0, 1.1, or 1.2, the system is vulnerable; empty output indicates no vulnerable version detected
find /var/www -name 'index.php' 2>/dev/null | xargs grep 'Flat PHP Board' 2>/dev/null | grep '1\.[0-2]' | head -1