🇰🇷 한글 설명
phpCOIN 1.2.0부터 1.2.1b 버전의 XSS 취약점으로, mod.php와 login.php의 매개변수들이 사용자 입력을 제대로 검증하지 않아 공격자가 악의적인 스크립트를 주입할 수 있다. 사용자가 조작된 URL을 클릭하면 공격자의 스크립트가 실행되어 세션 탈취 및 개인정보 유출이 가능하다.
💡 쉬운 설명
웹사이트의 입력 창에 악의적인 코드를 삽입할 수 있는 보안 결함입니다. 사용자가 감염된 페이지를 방문하면 공격자의 스크립트가 자동으로 실행되어 정보를 도용할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in phpCOIN 1.2.0 through 1.2.1b allows remote attackers to inject arbitrary web script or HTML via (1) the new parameter to mod.php, (2) the w parameter to mod.php, (3) the e parameter to login.php, (4) the o parameter to login.php, and possibly other scripts.
📍 영향받는 시스템
phpCOIN 1.2.0, 1.2.1, 1.2.1b
⚔️ 공격 벡터
mod.php의 new/w 매개변수 또는 login.php의 e/o 매개변수에 XSS 페이로드를 주입하여 브라우저에서 실행
🛡️ 대응 방법
phpCOIN을 1.2.2 이상으로 업그레이드하고 모든 입력값에 대해 HTML 특수문자 인코딩 및 유효성 검사 적용
🔧 검증 코드
명령어 결과로 phpcoin 디렉토리가 발견되고 버전이 1.2.0-1.2.1b 사이면 취약한 상태로 즉시 업그레이드 필요
find /var/www -type d -name phpcoin 2>/dev/null && grep -r 'VERSION\|version' /var/www/phpcoin 2>/dev/null | grep -E '1\.2\.[01]b?'