🇰🇷 한글 설명
Brad Fears의 phpCodeCabinet 0.4 이전 버전에 다수의 XSS 취약점이 존재하며, 공격자가 comments.php의 sid, category.php의 cid/cf/rfd 등 여러 파라미터를 통해 악의적인 스크립트를 주입할 수 있습니다. 사용자가 감염된 페이지를 방문하면 공격자의 코드가 사용자 브라우저에서 실행되어 세션 탈취, 개인정보 유출, 악성 파일 배포 등이 가능합니다.
💡 쉬운 설명
웹사이트의 URL이나 입력창에 악성 코드를 숨겨서 다른 사용자들을 감염시킬 수 있는 보안 결함입니다. 피해자가 링크를 클릭하거나 페이지를 방문하면 자동으로 공격자의 코드가 실행되어 정보 도용이나 계정 탈취로 이어질 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in Brad Fears phpCodeCabinet 0.4 and earlier allow remote attackers to inject arbitrary web script or HTML via multiple parameters, including (1) the sid parameter to comments.php, (2) the cid, cf, or rfd parameters to category.php, or the cid parameter to (3) input.php, (4) browse.php, (5) themes/facade/header.php, or (6) themes/phpcc/header.php.
📍 영향받는 시스템
phpCodeCabinet 버전 0.4 및 이전 버전
⚔️ 공격 벡터
URL 파라미터(sid, cid, cf, rfd)에 <script> 태그나 이벤트 핸들러를 포함한 페이로드를 전달하여 사용자 브라우저에서 임의 JavaScript 코드 실행
🛡️ 대응 방법
phpCodeCabinet을 최신 버전으로 즉시 업그레이드하거나, 소스 코드의 모든 입력값에 HTML 인코딩 및 필터링 적용
🔧 검증 코드
phpCodeCabinet 설치 디렉토리를 찾아 setup.php 또는 version 파일의 버전 정보 확인; 0.4 이하면 취약점 대상, 결과 없으면 미설치
find /var/www -type f -name '*phpCodeCabinet*' -o -path '*/cabinet/*' 2>/dev/null | head -1