🇰🇷 한글 설명
PHParanoid 0.4 이전 버전의 admin.php 및 개인 메시지 기능에서 CSRF 취약점이 발견되었습니다. 원격 공격자가 인증된 사용자의 요청을 도용하여 임의의 작업을 수행할 수 있습니다. 사용자의 동의 없이 관리자 권한 변경, 메시지 전송 등의 악의적 행동이 가능합니다.
💡 쉬운 설명
사용자를 속여 자신도 모르게 악의적인 웹사이트의 링크를 클릭하도록 만든 뒤, PHParanoid 사이트에서 몰래 관리자 설정을 변경하거나 메시지를 보낼 수 있는 보안 결함입니다. 로그인된 사용자라면 누구나 피해를 입을 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site request forgery (CSRF) vulnerabilities in PHParanoid before 0.4 allow remote attackers to hijack the authentication of arbitrary users for requests that use (1) admin.php or (2) private messages.
📍 영향받는 시스템
PHParanoid 0.3 이하, 특히 admin.php와 개인메시지(PM) 기능 사용 중인 버전
⚔️ 공격 벡터
공격자가 CSRF 토큰이 없거나 유효하지 않은 malicious 링크/폼을 생성하여 인증된 사용자가 클릭하도록 유도
🛡️ 대응 방법
PHParanoid를 0.4 이상으로 즉시 업그레이드하고, 모든 상태 변경 요청에 CSRF 토큰 검증 구현
🔧 검증 코드
PHParanoid 설치 경로를 찾으면 해당 버전의 admin.php 파일이 존재하는 것을 확인 가능하며, 파일 내 버전 정보나 CSRF 토큰 검증 코드 부재 확인으로 취약성 여부 판단
find /var/www -type f -name 'admin.php' 2>/dev/null | xargs grep -l 'PHParanoid\|paranoid' 2>/dev/null | head -1