🇰🇷 한글 설명
phpMyFAQ 4.2.0-alpha 이전 버전에서 인증되지 않은 사용자가 비밀번호 재설정 엔드포인트에 무제한으로 요청을 보낼 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 등록된 사용자의 편지함을 이메일로 도배하거나 메일 서버 및 시스템 자원을 고갈시킬 수 있습니다.
💡 쉬운 설명
비밀번호 찾기 버튼을 무한정 누를 수 있는 허점이 있어, 공격자가 이를 악용해 이메일을 대량으로 보내 서버를 마비시키거나 사용자를 괴롭힐 수 있습니다. 이는 마치 가게 문 앞에 수만 통의 전단지를 뿌려 업무를 방해하는 것과 같습니다.
🇺🇸 원문 (English)
phpMyFAQ 4.2.0-alpha before 4.2.0-beta lacks effective rate limiting on the unauthenticated user/password/update and user/password/reset endpoints. Unauthenticated attackers can send unlimited reset requests to flood a registered user's inbox with reset emails, exhausting mailer and server resources.
📍 영향받는 시스템
phpMyFAQ 4.2.0-alpha 미만 버전
⚔️ 공격 벡터
인증되지 않은 상태에서 비밀번호 재설정 엔드포인트에 대량의 HTTP 요청을 전송하는 방식
🛡️ 대응 방법
phpMyFAQ를 4.2.0-beta 이상의 최신 버전으로 업데이트하거나 엔드포인트에 속도 제한(Rate Limiting)을 적용해야 합니다.
🔧 검증 코드
설치된 phpMyFAQ의 버전을 확인하여 4.2.0-beta 미만인지 확인합니다.
phpmyfaq_version_check --version 2>/dev/null || echo 'Manual check required: Verify phpMyFAQ version is below 4.2.0-beta'