🇰🇷 한글 설명
4.1.9 미만 버전의 phpMyFAQ에서 권한 검증 오류로 인해 뉴스 수정 권한이 없는 위임된 관리자가 뉴스를 수정할 수 있는 취약점이 발견되었습니다. 공격자는 특정 API 호출을 통해 뉴스 항목의 헤더, 본문, 작성자, 링크 및 활성화 상태를 임의로 변경할 수 있습니다.
💡 쉬운 설명
뉴스 수정 권한이 없는 관리자가 시스템의 허점을 이용해 뉴스를 마음대로 고칠 수 있는 문제입니다. 이를 통해 웹사이트에 게시된 뉴스 내용을 조작할 수 있습니다.
🇺🇸 원문 (English)
phpMyFAQ from 4.0.0 before 4.1.9 contains an incorrect authorization vulnerability that allows delegated admins lacking the editnews right to modify news by calling PUT /admin/api/news/update, which checks NEWS_DELETE instead of NEWS_EDIT. Attackers holding addnews and delnews can read the update-news CSRF token from their own cookie and rewrite any news item's header, body, author, link and active flag shown on the public front page.
📍 영향받는 시스템
phpMyFAQ 4.0.0 ~ 4.1.8 버전
⚔️ 공격 벡터
권한 검증이 잘못된 API(/admin/api/news/update)를 호출하여 뉴스 데이터를 수정하는 방식
🛡️ 대응 방법
phpMyFAQ를 최신 버전인 4.1.9 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 phpMyFAQ의 버전이 4.1.9 미만인지 확인하십시오.
php -r 'echo "Check your phpMyFAQ version in the admin panel or version.php file";'