🇰🇷 한글 설명
phpMyFAQ 4.2.0-alpha.2 미만 버전에서 관리자 대시보드 API 엔드포인트인 searches 및 content-health에 권한 검증이 누락된 취약점이 발견되었습니다. 이로 인해 인증된 사용자라면 권한 수준에 관계없이 사이트 전체의 검색 통계 및 콘텐츠 상태 카운터 정보를 읽을 수 있습니다.
💡 쉬운 설명
로그인만 하면 누구나 관리자만 봐야 하는 사이트 통계 정보를 몰래 볼 수 있는 보안 허점이 있습니다. 일반 사용자가 관리자 페이지의 민감한 수치 데이터를 훔쳐볼 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
phpMyFAQ before 4.2.0-alpha.2 contains a missing authorization vulnerability in the admin dashboard API endpoints searches and content-health that enforce only authentication without permission checks. Any authenticated user can access these endpoints to read site-wide search statistics and content-health counters regardless of their privilege level.
📍 영향받는 시스템
phpMyFAQ 4.2.0-alpha.2 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 권한 검증이 없는 관리자 API 엔드포인트에 직접 요청을 보내는 방식
🛡️ 대응 방법
phpMyFAQ를 4.2.0-alpha.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
설치된 phpMyFAQ의 버전을 확인하여 4.2.0-alpha.2 미만인지 확인하십시오.
php -r 'echo "Check your phpMyFAQ version in the installation directory or via composer.json";' | grep -i 'version'