🇰🇷 한글 설명
phpMyFAQ v4.1.6 미만 버전에서 API 엔드포인트가 security.enableRegistration 설정을 검증하지 않는 취약점이 발견되었습니다. 공격자는 이를 악용하여 회원가입 기능이 비활성화된 상태에서도 API 요청을 통해 임의의 사용자 계정을 생성할 수 있습니다.
💡 쉬운 설명
웹사이트의 회원가입 기능을 꺼두었음에도 불구하고, 특수한 통로(API)를 통해 몰래 계정을 만들 수 있는 보안 결함입니다. 이를 통해 공격자가 관리자 권한을 얻거나 시스템에 침입할 위험이 있습니다.
🇺🇸 원문 (English)
phpMyFAQ versions before v4.1.6 fail to validate the security.enableRegistration setting in API endpoints, allowing attackers to create user accounts when registration is disabled. Attackers can bypass the registration restriction by submitting requests to POST /api/register or POST /api/v3.1/register endpoints, which do not check the configuration flag enforced by the HTML registration page.
📍 영향받는 시스템
phpMyFAQ v4.1.6 미만 모든 버전
⚔️ 공격 벡터
POST /api/register 또는 POST /api/v3.1/register 엔드포인트로 직접 요청 전송
🛡️ 대응 방법
phpMyFAQ를 최신 버전인 v4.1.6 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 phpMyFAQ의 버전을 확인하여 4.1.6 미만인지 체크합니다.
php -r 'echo "phpMyFAQ_VERSION_CHECK";' | grep -v '4.1.6'