🇰🇷 한글 설명
PHPbbBook 1.3 및 1.3h의 bbcode.php에 존재하는 디렉토리 트래버설 취약점으로, l 파라미터에 '..'을 입력하여 임의의 로컬 파일을 포함하고 실행할 수 있습니다. 원격 공격자가 인증 없이 서버의 민감한 파일에 접근할 수 있습니다.
💡 쉬운 설명
PHPbbBook 프로그램의 l 파라미터에서 '..'을 사용해 폴더를 벗어나서 다른 파일들에 접근할 수 있는 보안 허점입니다. 해커가 서버의 설정 파일이나 중요 데이터를 읽거나 실행할 수 있습니다.
🇺🇸 원문 (English)
Directory traversal vulnerability in bbcode.php in PHPbbBook 1.3 and 1.3h allows remote attackers to include and execute arbitrary local files via a .. (dot dot) in the l parameter.
📍 영향받는 시스템
PHPbbBook 1.3, 1.3h
⚔️ 공격 벡터
l 파라미터에 '../' 시퀀스를 포함하여 bbcode.php를 호출하고 /etc/passwd 등 임의의 로컬 파일을 포함시킬 수 있음
🛡️ 대응 방법
PHPbbBook을 최신 버전으로 업그레이드하거나 l 파라미터에서 '..'를 필터링하는 입력 검증 적용
🔧 검증 코드
bbcode.php 파일이 발견되면 설치된 위치와 함께 표시되며, 파일 내용에서 버전 확인 후 1.3 또는 1.3h인지 검증해야 함
find / -name 'bbcode.php' -path '*/phpbbbook*' 2>/dev/null | head -1