🇰🇷 한글 설명
PHPmotion 2.1 이하의 password.php에서 CSRF 취약점 발견. 원격 공격자가 사용자 인증을 탈취하여 비밀번호 및 이메일 주소를 임의로 변경 가능.
💡 쉬운 설명
악의적인 웹사이트 방문 시 사용자 모르게 PHPmotion 계정의 비밀번호나 이메일이 변경될 수 있습니다. 공격자가 계정을 완전히 탈취할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site request forgery (CSRF) vulnerabilities in password.php in PHPmotion 2.1 and earlier allow remote attackers to hijack the authentication of arbitrary users for requests that modify an account via the (1) password or (2) email_address parameter.
📍 영향받는 시스템
PHPmotion 2.1 이하
⚔️ 공격 벡터
악의적 웹사이트 링크 클릭 또는 이메일 피싱을 통해 CSRF 요청을 사용자 모르게 실행
🛡️ 대응 방법
PHPmotion을 최신 버전으로 업그레이드하고 모든 양식에 CSRF 토큰 검증 구현
🔧 검증 코드
password.php가 발견되고 PHPmotion 버전이 2.1 이하면 취약한 상태
find / -name password.php -path "*/phpmotion/*" 2>/dev/null | head -1