🇰🇷 한글 설명
phpFoX 1.6.21의 계정 설정 페이지에서 CSRF 취약점이 발견되었습니다. 이를 통해 공격자는 관리자의 인증을 도용하여 이메일 주소 변경 요청을 수행할 수 있습니다. 이는 계정 탈취 및 권한 악용으로 이어질 수 있습니다.
💡 쉬운 설명
웹사이트가 요청이 정말 관리자로부터 온 것인지 확인하지 않아서, 해커가 관리자를 속여 자신도 모르게 계정의 이메일을 바꾸게 만들 수 있습니다. 이메일이 바뀌면 해커가 계정을 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
Cross-site request forgery (CSRF) vulnerability in account/settings/account/index.php in phpFoX 1.6.21 allows remote attackers to hijack the authentication of administrators for requests that change the email address via the act[update] action.
⚔️ 공격 벡터
관리자를 악의적인 웹페이지로 유도하여 자신도 모르게 account/settings/account/index.php의 act[update] 파라미터를 통해 이메일 변경 요청 실행
🛡️ 대응 방법
phpFoX를 최신 버전으로 즉시 업그레이드하거나 CSRF 토큰 검증 메커니즘을 account/settings/account/index.php에 추가 구현
🔧 검증 코드
명령어가 파일 경로를 반환하면 phpFoX가 설치되어 있으며, 해당 시스템이 취약한 버전인지 버전 정보를 확인하여 검증
find / -path '*/phpfox/account/settings/account/index.php' 2>/dev/null | head -1