🇰🇷 한글 설명
MyBB 1.8.40 미만 버전의 캘린더 모듈에서 비공개 이벤트 상태를 일관되게 검증하지 않는 취약점이 발견되었습니다. 이로 인해 보기 및 관리 권한을 가진 사용자가 비공개 이벤트에 접근하고 이를 관리할 수 있는 문제가 발생합니다.
💡 쉬운 설명
게시판의 달력 기능에서 비밀로 설정된 일정을 제대로 숨기지 못하는 오류가 있습니다. 권한이 있는 사용자가 남의 비밀 일정을 몰래 보거나 수정할 수 있습니다.
🇺🇸 원문 (English)
MyBB is free and open source forum software. Prior to 1.8.40, the calendar module does not verify private event status consistently, allowing users with viewing and moderation permissions to access and moderate private events. The private-event check used by get_events() in inc/functions_calendar.php and the event action is missing from the remaining calendar.php actions, despite the limited-access behavior described in inc/languages/english/calendar.lang.php. This issue is fixed in version 1.8.40.
📍 영향받는 시스템
MyBB 1.8.40 미만 버전
⚔️ 공격 벡터
권한을 가진 사용자가 캘린더 모듈의 특정 액션을 호출하여 비공개 이벤트에 접근
🛡️ 대응 방법
MyBB를 최신 버전인 1.8.40 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 MyBB의 버전을 확인하여 1.8.40 미만인지 확인합니다.
grep -r "version" inc/config.php 2>/dev/null || echo "Check MyBB version in config.php or via admin panel"