🇰🇷 한글 설명
MyBB 1.8.40 미만 버전의 기본 CAPTCHA 기능에서 일회성 검증이 일관되게 적용되지 않는 취약점이 발견되었습니다. 공격자는 특정 엔드포인트에서 유효한 CAPTCHA 응답을 재사용하여 보안 통제를 우회할 수 있습니다.
💡 쉬운 설명
로봇 방지용 문자 입력(CAPTCHA)이 한 번 사용한 뒤에는 바로 무효화되지 않는 문제입니다. 이를 통해 공격자가 자동화된 도구로 보안 검사를 통과할 수 있습니다.
🇺🇸 원문 (English)
MyBB is free and open source forum software. Prior to 1.8.40, the built-in CAPTCHA does not consistently enforce single-use semantics, allowing remote attackers to bypass CAPTCHA controls through challenge replay. The successful validation paths in contact.php, member.php?action=do_resendactivation, member.php?action=do_lostpw, member.php?action=do_emailuser, and sendthread.php?action=do_sendtofriend do not call captcha::invalidate_captcha() for the MyBB Default CAPTCHA selected by the captchaimage setting. A valid response can therefore be reused until a non-vulnerable endpoint invalidates it, an incorrect response is submitted, or the challenge expires. This issue is fixed in version 1.8.40.
📍 영향받는 시스템
MyBB 버전 1.8.40 미만
⚔️ 공격 벡터
유효한 CAPTCHA 응답을 획득한 후, 이를 재사용(Replay)하여 인증 절차를 우회하는 방식
🛡️ 대응 방법
MyBB를 최신 버전인 1.8.40 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 MyBB의 버전 정보를 확인하여 1.8.40 미만인지 확인합니다.
grep -r "version" /path/to/mybb/inc/config.php || echo "Version check required via manual file inspection"