🇰🇷 한글 설명
phpBB 2.0.22의 개인 메시지 처리 기능에서 CSRF 취약점이 발견되었습니다. 원격 공격자가 조작된 웹페이지를 통해 다른 사용자의 개인 메시지를 임의로 삭제할 수 있습니다.
💡 쉬운 설명
phpBB 커뮤니티 사이트에서 누군가가 조작된 링크를 클릭하도록 속이면, 그 사람의 개인 메시지들이 자동으로 삭제될 수 있습니다. 이는 사용자가 의도하지 않은 행동을 하게 만드는 공격입니다.
🇺🇸 원문 (English)
Cross-site request forgery (CSRF) vulnerability in privmsg.php in phpBB 2.0.22 allows remote attackers to delete private messages (PM) as arbitrary users via a deleteall action.
📍 영향받는 시스템
phpBB 2.0.22 (및 이전 버전의 privmsg.php 기반 버전)
⚔️ 공격 벡터
CSRF를 통해 인증된 사용자의 세션을 악용하여 deleteall 액션 실행
🛡️ 대응 방법
phpBB를 최신 버전으로 업그레이드하고, 모든 상태 변경 요청에 CSRF 토큰 검증 구현
🔧 검증 코드
결과가 나오면 취약한 phpBB 설치 발견; 버전 확인 후 업그레이드 필요
find / -name privmsg.php -path '*/phpBB/*' 2>/dev/null | xargs grep -l 'deleteall' 2>/dev/null | head -1