# Description ```php $value) { if ($key && !in_array($key, $post_check_keys)) { $link .= "$split$key=$value"; $split = "&"; } } } else { $link = G5_URL; } //소셜 로그인 추가 if(function_exists('social_login_success_after')){ // 로그인 성공시 소셜 데이터를 기존의 데이터와 비교하여 바뀐 부분이 있으면 업데이트 합니다. $link = social_login_success_after($mb, $link); social_login_session_clear(1); } //영카트 회원 장바구니 처리 if(function_exists('set_cart_id')){ $member = $mb; // 보관기간이 지난 상품 삭제 cart_item_clean(); set_cart_id(''); $s_cart_id = get_session('ss_cart_id'); // 선택필드 초기화 $sql = " update {$g5['g5_shop_cart_table']} set ct_select = '0' where od_id = '$s_cart_id' "; sql_query($sql); } run_event('member_login_check', $mb, $link, $is_social_login); // 관리자로 로그인시 DATA 폴더의 쓰기 권한이 있는지 체크합니다. 쓰기 권한이 없으면 로그인을 못합니다. if( is_admin($mb['mb_id']) && is_dir(G5_DATA_PATH.'/tmp/') ){ $tmp_data_file = G5_DATA_PATH.'/tmp/tmp-write-test-'.time(); $tmp_data_check = @fopen($tmp_data_file, 'w'); if($tmp_data_check){ if(! @fwrite($tmp_data_check, G5_URL)){ $tmp_data_check = false; } } @fclose($tmp_data_check); @unlink($tmp_data_file); if(! $tmp_data_check){ alert("data 폴더에 쓰기권한이 없거나 또는 웹하드 용량이 없는 경우\\n로그인을 못할수도 있으니, 용량 체크 및 쓰기 권한을 확인해 주세요.", $link); } } goto_url($link); // https://github.com/gnuboard/gnuboard5/blob/master/bbs/login_check.php ``` The above code is the source code of bbs/login_check.php. If you check the code, you can see that the origin check for the $url variable is not done properly, and it is confirmed that the goto_url() function is called at the end. ```php function goto_url($url) { $url = str_replace("&", "&", $url); //echo ""; if (!headers_sent()) header('Location: '.$url); else { echo ''; echo ''; } exit; } // https://github.com/gnuboard/gnuboard5/blob/6fe49ff1064461f8ca6de7b511640910c0fba140/lib/common.lib.php#L97 ``` Even if you check the goto_url() function, you can see that it redirects using the header() function without separately verifying the $url parameter. Therefore, we can pass another domain as the value of $url and redirect to another site when logging in. # Proof of Concept ``` https://sir.kr/?url=https://google.com Test Account > ID : whwjddnjs142 > PW : qwer1202@ ``` After accessing the URL above, you can check that you are redirected to Google when you successfully log in with the above account. # Impact Attackers were redirected to malicious sites using this.