🇰🇷 한글 설명
Fully Modded phpBB (phpbbfm) 80220 버전의 kb.php에 SQL injection 취약점이 존재하여, 공격자가 article 액션의 k 파라미터를 통해 임의의 SQL 명령을 실행할 수 있습니다. 이를 통해 데이터베이스 내용을 유출하거나 조작할 수 있습니다.
💡 쉬운 설명
공격자가 특정 파라미터에 악의적인 SQL 코드를 입력하여 웹사이트의 데이터베이스에 직접 접근할 수 있습니다. 이를 통해 사용자 정보나 관리자 계정을 탈취할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in kb.php in Fully Modded phpBB (phpbbfm) 80220 allows remote attackers to execute arbitrary SQL commands via the k parameter in an article action.
📍 영향받는 시스템
Fully Modded phpBB (phpbbfm) 버전 80220 이하
⚔️ 공격 벡터
article 액션의 k 파라미터에 SQL injection 페이로드를 전송하여 원격에서 임의의 SQL 명령 실행
🛡️ 대응 방법
phpBB를 최신 버전으로 업그레이드하고, 사용자 입력값에 대해 prepared statements 사용 및 입력 검증 강화
🔧 검증 코드
kb.php에서 k 파라미터를 직접 사용하고 mysql_escape_string이 없으면 취약점 존재, 파일 존재 여부로 영향받는 설치 여부 확인
grep -r "\$_GET\[.k.\]" /var/www 2>/dev/null | grep -v mysql_escape_string