CVE-2022-24734 (MyBB 관리자CP 원격코드실행) 분석

포럼 소프트웨어 MyBB의 관리자 컨트롤 패널(ACP) 설정 관리 기능에서, "타입이 php로 시작하는지"를 저장할 때 한 번, 화면에 그릴 때 또 한 번 서로 다른 규칙으로 검사한 탓에 두 검사가 어긋나는 값이 존재합니다(CVSS 7.2, CWE-94). 이 값을 통과시키면 설정값의 나머지 부분이 검증 없이 eval()에 그대로 들어가 실행됩니다. 다만 이 취약점은 "설정 관리" 권한을 가진 인증된 관리자만 트리거할 수 있는 post-auth RCE입니다 — 비인증 공격자가 바로 서버를 장악하는 구조는 아닙니다. 이 글은 MyBB 오픈소스 저장소의 실제 취약 커밋(태그 mybb_1829)과 공식 패치 커밋을 직접 대조해 근본원인과 흐름을 분석합니다.