🇰🇷 한글 설명
PHPFox 3.7.3 및 3.7.4에서 인증된 사용자가 게시물의 ID를 직접 지정하는 요청을 통해 '나만 보기' 권한 제한을 우회할 수 있습니다. 이를 통해 본인만 볼 수 있도록 설정된 게시물에 대해 '좋아요' 기능을 악용할 수 있는 권한 탈취 취약점입니다.
💡 쉬운 설명
PHPFox에서 '나만 보기'로 설정된 게시물도 특정 ID를 입력하면 누구나 좋아요를 누를 수 있는 문제입니다. 게시물 작성자의 의도와 상관없이 다른 사용자들이 개인 게시물과 상호작용할 수 있게 되는 것입니다.
🇺🇸 원문 (English)
PHPFox 3.7.3 and 3.7.4 allows remote authenticated users to bypass intended "Only Me" restrictions and "like" a publication via a request that specifies the ID for the publication.
📍 영향받는 시스템
PHPFox 3.7.3, 3.7.4
⚔️ 공격 벡터
인증된 사용자가 게시물 ID 파라미터를 조작하여 접근 제한을 우회하고 like 요청 전송
🛡️ 대응 방법
PHPFox를 3.7.5 이상으로 업그레이드하거나 공식 보안 패치 적용
🔧 검증 코드
PHPFox 설치 경로에서 접근 제어 로직을 검사하여 ID 기반 권한 검증이 제대로 되어있는지 확인합니다. 결과가 없으면 시스템에 PHPFox가 설치되어있지 않은 상태입니다.
grep -r "Only Me" /var/www/phpfox* 2>/dev/null || find /var/www -name 'phpfox*.php' -type f 2>/dev/null | head -1 | xargs grep -l 'like' | head -1