🇰🇷 한글 설명
MediaWiki의 SportsTeams 확장 기능에서 권한 검증 미흡 문제가 발견되었습니다. 특정 특수 페이지에서 sportsteamsmanager 권한을 확인하지 않아, 공격자가 스포츠 팀 관련 페이지에 영향을 미칠 수 있습니다.
💡 쉬운 설명
관리자만 할 수 있는 설정을 일반 사용자가 몰래 바꿀 수 있는 보안 구멍이 발견되었습니다. 이로 인해 스포츠 팀 관련 정보가 마음대로 수정될 위험이 있습니다.
🇺🇸 원문 (English)
An issue was discovered in the SportsTeams extension for MediaWiki before 1.35.12, 1.36.x through 1.39.x before 1.39.5, and 1.40.x before 1.40.1. SportsTeams: Special:SportsManagerLogo and Special:SportsTeamsManagerLogo do not check for the sportsteamsmanager user right, and thus an attacker may be able to affect pages that are concerned with sports teams.
📍 영향받는 시스템
MediaWiki SportsTeams extension (1.35.12 미만, 1.36.x~1.39.x < 1.39.5, 1.40.x < 1.40.1)
⚔️ 공격 벡터
권한이 없는 사용자가 특정 특수 페이지(Special:SportsManagerLogo 등)에 접근하여 데이터 조작
🛡️ 대응 방법
SportsTeams 확장 기능을 최신 보안 패치 버전(1.35.12, 1.39.5, 1.40.1 이상)으로 업데이트
🔧 검증 코드
출력된 버전이 취약점이 해결된 버전(1.35.12, 1.39.5, 1.40.1 이상)인지 확인
php -r 'include "LocalSettings.php"; echo "Version: " . SportsTeams::VERSION . PHP_EOL;'