🇰🇷 한글 설명
MyBB 1.8.40 미만 버전의 캘린더 모듈에서 권한 확인이 일관되지 않게 이루어지는 취약점이 발견되었습니다. 인증된 사용자가 권한이 없는 캘린더의 제목을 조회할 수 있으며, 이는 calendar.php의 잘못된 권한 검사 로직으로 인해 발생합니다.
💡 쉬운 설명
로그인한 사용자가 원래는 볼 수 없는 다른 사람의 달력 제목을 몰래 훔쳐볼 수 있는 문제입니다. 시스템이 달력의 이름을 보여주기 전에 권한을 제대로 확인하지 않아서 발생합니다.
🇺🇸 원문 (English)
MyBB is free and open source forum software. Prior to 1.8.40, the calendar module does not check permissions consistently when listing calendars, allowing authenticated users to access titles of calendars that are otherwise inaccessible. The affected calendar-selection paths in calendar.php perform permission checks against an invalid calendar context before returning calendar titles. The uniquely identifying implementation details include titles of inaccessible calendars, and invalid calendar permission context. This issue is fixed in version 1.8.40.
📍 영향받는 시스템
MyBB 1.8.40 미만 버전
⚔️ 공격 벡터
인증된 사용자가 calendar.php의 특정 경로를 통해 권한이 없는 캘린더 목록에 접근
🛡️ 대응 방법
MyBB를 최신 버전인 1.8.40 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 MyBB의 버전을 확인하여 1.8.40 미만인지 확인합니다.
grep -r "version" /path/to/mybb/inc/config.php || echo 'Check MyBB version manually'