🇰🇷 한글 설명
PHP Arena paFileDB의 검색 기능에서 사용자 입력을 제대로 검증하지 않아 자바스크립트 코드가 삽입될 수 있는 XSS 취약점입니다. 공격자는 검색 문자열에 악의적인 스크립트를 주입하여 다른 사용자의 세션 정보를 탈취하거나 원치 않는 행동을 유발할 수 있습니다.
💡 쉬운 설명
파일 관리 소프트웨어의 검색창에 악의적인 코드를 숨겨서 주입할 수 있는 문제입니다. 이를 통해 공격자가 다른 사용자의 브라우저에서 원치 않는 행동을 하도록 할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in PHP Arena paFileDB 1.1.3 and 2.1.1 allows remote attackers to inject arbitrary web script or HTML via Javascript in the search string.
📍 영향받는 시스템
PHP Arena paFileDB 1.1.3, 2.1.1
⚔️ 공격 벡터
검색 문자열에 <script> 태그 또는 자바스크립트 이벤트 핸들러(onclick, onload 등)를 삽입
🛡️ 대응 방법
PHP Arena paFileDB를 최신 버전으로 업그레이드하거나, 검색 입력값을 htmlspecialchars()로 HTML 엔티티 인코딩하는 보안 패치 적용
🔧 검증 코드
paFileDB 설치 디렉토리를 확인한 후, 디렉토리 내 버전 정보 파일이나 index.php의 버전 문자열을 검사하여 취약한 버전 1.1.3 또는 2.1.1이 설치되어 있는지 확인합니다.
find / -name 'pafiledb.php' -o -name 'pafiledb' -type d 2>/dev/null | head -1