🇰🇷 한글 설명
CubeCart 2.0.4의 index.php에서 language 파라미터 검증 부족으로 인한 정보 유출 및 XSS 취약점입니다. 공격자는 유효하지 않은 language 값을 입력하여 PHP 에러 메시지를 통해 웹 서버의 전체 경로를 얻거나 사용자 세션에서 악성 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
CubeCart 쇼핑몰 소프트웨어의 언어 선택 기능에서 입력값을 제대로 검증하지 않아 발생하는 문제입니다. 이를 이용하면 공격자가 서버의 내부 경로를 알아내거나 사용자의 브라우저에서 악의적인 코드를 실행시킬 수 있습니다.
🇺🇸 원문 (English)
index.php in CubeCart 2.0.4 allows remote attackers to (1) obtain the full path for the web server or (2) conduct cross-site scripting (XSS) attacks via an invalid language parameter, which echoes the parameter in a PHP error message.
📍 영향받는 시스템
CubeCart 2.0.4 및 이전 버전
⚔️ 공격 벡터
index.php의 language 파라미터에 유효하지 않은 값이나 스크립트 코드를 전달하여 PHP 에러 메시지를 트리거
🛡️ 대응 방법
CubeCart를 최신 보안 패치가 적용된 2.0.5 이상 버전으로 업그레이드 또는 language 파라미터에 대한 입력 검증 및 필터링 강화
🔧 검증 코드
CubeCart 설치 경로를 찾았다면 해당 index.php를 검토하여 language 파라미터가 htmlspecialchars() 등으로 제대로 필터링되고 있는지 확인하세요.
find /var/www -name 'index.php' -path '*/cubecart/*' 2>/dev/null | xargs grep -l 'language' 2>/dev/null