🇰🇷 한글 설명
PHPList Integration 모듈의 'My Account' 기능에서 CSRF 취약점이 발견되었으며, 공격자가 메일링 리스트 구독/구독 해제를 통해 임의의 사용자 인증을 탈취할 수 있습니다. Drupal 5 버전 5.x-1.2 미만 및 6 버전 6.x-1.1 미만이 영향을 받습니다.
💡 쉬운 설명
웹사이트가 특정 작업(메일링 리스트 구독)을 실행하기 전에 사용자 확인을 제대로 하지 못하는 결함입니다. 해커가 트릭을 사용해 피해자가 원하지 않는 작업을 하도록 속일 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site request forgery (CSRF) vulnerabilities in the "My Account" feature in PHPList Integration module 5 before 5.x-1.2 and 6 before 6.x-1.1 for Drupal allow remote attackers to hijack the authentication of arbitrary users via vectors related to (1) subscribing or (2) unsubscribing to mailing lists.
📍 영향받는 시스템
Drupal PHPList Integration module 5.x < 5.x-1.2, 6.x < 6.x-1.1
⚔️ 공격 벡터
공격자가 특별히 조작된 웹 페이지/이메일을 사용자에게 보내 사용자가 모르게 메일링 리스트를 구독/해제하게 하는 방식
🛡️ 대응 방법
PHPList Integration 모듈을 5.x-1.2 또는 6.x-1.1 이상으로 업그레이드
🔧 검증 코드
phplist_integration.info 파일에서 version 항목을 확인하여 5.x-1.2 미만 또는 6.x-1.1 미만이면 취약한 버전입니다.
grep "^version" /var/www/html/sites/all/modules/*/phplist_integration.info 2>/dev/null | head -1