🇰🇷 한글 설명
phpRank 1.8 및 이하 버전의 add.php 이메일 파라미터와 메인 리스트 배너 URL(banurl) 파라미터에서 입력값 검증 부재로 인한 XSS 취약점입니다. 공격자가 임의의 스크립트를 주입하여 사용자 세션 탈취나 악성 코드 실행이 가능합니다.
💡 쉬운 설명
phpRank라는 웹사이트 순위 프로그램의 오래된 버전에서 사용자 입력을 제대로 검증하지 않아 악의적인 코드를 삽입할 수 있습니다. 이로 인해 다른 사용자들도 공격을 받을 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in phpRank 1.8 allows remote attackers to inject arbitrary web script or HTML via the (1) the email parameter of add.php or (2) the banner URL (banurl parameter) in the main list.
📍 영향받는 시스템
phpRank 1.8 이하
⚔️ 공격 벡터
add.php의 email 파라미터 또는 main.php의 banurl 파라미터에 JavaScript 페이로드 직접 입력
🛡️ 대응 방법
phpRank를 최신 버전으로 업그레이드하거나 입력값에 대한 HTML 이스케이핑 필터 적용
🔧 검증 코드
명령어가 결과를 반환하면 phpRank 설치 위치를 찾았으므로 해당 경로의 버전 파일을 확인하여 1.8 이하 여부를 판단합니다.
find / -type f -name 'add.php' 2>/dev/null | xargs grep -l 'phprank\|phpRank' 2>/dev/null