🔍 CVE-2016-5100

9.8
CVSS Score
CRITICAL
2017-02-13
2026-05-13 00:24
✅ 완료

🇰🇷 한글 설명

Froxlor 0.9.35 이전 버전은 PHP rand() 함수의 약한 난수 생성기를 사용하여 비밀번호 재설정 토큰을 생성했습니다. 원격 공격자가 이 토큰을 예측하여 임의의 사용자 계정에 접근할 수 있습니다.

💡 쉬운 설명

Froxlor의 비밀번호 재설정 링크가 충분히 무작위가 아니어서, 해커가 링크를 맞춰낼 수 있습니다. 이를 통해 다른 사람의 계정을 탈취할 수 있습니다.

🇺🇸 원문 (English)

Froxlor before 0.9.35 uses the PHP rand function for random number generation, which makes it easier for remote attackers to guess the password reset token by predicting a value.

📍 영향받는 시스템

Froxlor 0.9.35 이전 모든 버전

⚔️ 공격 벡터

원격 공격자가 비밀번호 재설정 토큰을 예측하여 계정 인수 공격 수행

🛡️ 대응 방법

Froxlor를 0.9.35 이상으로 업그레이드하거나 random_bytes()/openssl_random_bytes() 함수 사용

🔧 검증 코드

설치된 Froxlor 버전을 확인하여 0.9.35 이상이면 안전, 미만이면 취약함

Shell / Script 
dpkg -l froxlor 2>/dev/null | awk 'NR==2 {print $3}' | grep -E '^0\.(9\.(3[5-9]|[4-9][0-9])|[1-9][0-9]\.)' && echo 'Patched' || echo 'Vulnerable or not installed'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP