🇰🇷 한글 설명
OGP-Website는 type juggling(타입 조글링) 취약점으로 인해 공격자가 피해자의 비밀번호를 모르고도 인증을 우회할 수 있습니다. git commit 52f865a 이전 버전에서 PHP의 느슨한 타입 비교 로직이 보안 검증을 무력화합니다.
💡 쉬운 설명
OGP-Website 프로그램에 암호 검사를 속일 수 있는 버그가 있어서 공격자가 올바른 암호 없이도 계정에 접근할 수 있습니다. 이는 프로그램이 데이터 타입을 제대로 검증하지 않아서 생기는 문제입니다.
🇺🇸 원문 (English)
OGP-Website installs prior git commit 52f865a4fba763594453068acf8fa9e3fc38d663 are affected by a type juggling flaw which if exploited can result in authentication bypass without knowledge of the victim account's password.
📍 영향받는 시스템
OGP-Website git commit 52f865a4fba763594453068acf8fa9e3fc38d663 이전 모든 버전
⚔️ 공격 벡터
로그인 폼에 문자열 대신 불린(true/false) 또는 정수 값을 전송하여 느슨한 타입 비교를 우회한 후 비밀번호 검증 로직 통과
🛡️ 대응 방법
OGP-Website를 commit 52f865a 이후 버전으로 업데이트하거나 인증 로직에서 느슨한 비교(==) 대신 엄격한 비교(===) 사용
🔧 검증 코드
'Vulnerable version history found'가 출력되면 해당 취약 커밋이 리포지토리 히스토리에 있다는 의미이며, 현재 버전이 그 이후로 업데이트되었는지 확인 필요
git log --all --oneline 2>/dev/null | grep -q '52f865a' && echo 'Vulnerable version history found' || echo 'Not found'