🔍 CVE-2016-5726

9.8
CVSS Score
CRITICAL
2017-02-09
2026-05-13 00:24
✅ 완료

🇰🇷 한글 설명

Simple Machines Forum(SMF) 2.1의 Packages.php에서 themechanges 배열 매개변수를 통한 PHP 객체 주입 취약점이 존재합니다. 이를 악용하면 원격 공격자가 임의의 PHP 코드를 실행할 수 있습니다.

💡 쉬운 설명

SMF 포럼 소프트웨어의 테마 변경 기능에서 프로그래밍 객체를 조작하는 방식의 보안 결함이 있습니다. 공격자가 악의적인 입력을 보내면 서버에서 공격자가 원하는 코드를 실행하게 됩니다.

🇺🇸 원문 (English)

Packages.php in Simple Machines Forum (SMF) 2.1 allows remote attackers to conduct PHP object injection attacks and execute arbitrary PHP code via the themechanges array parameter.

📍 영향받는 시스템

Simple Machines Forum (SMF) 2.1 및 이전 버전

⚔️ 공격 벡터

HTTP POST/GET 요청에 themechanges 매개변수를 통해 직렬화된 PHP 객체를 주입하여 원격 코드 실행 트리거

🛡️ 대응 방법

SMF를 최신 보안 패치가 적용된 버전으로 업그레이드하거나 Packages.php에서 사용자 입력 검증 및 객체 직렬화 안전성 강화 적용

🔧 검증 코드

SMF가 설치된 경우 Packages.php 파일에서 themechanges 처리 코드를 찾을 수 있으며, 발견되지 않으면 해당 취약점 버전이 설치되지 않은 것으로 판단

Shell / Script 
find / -name 'Packages.php' -exec grep -l 'themechanges' {} \; 2>/dev/null || echo 'Not found'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP