🇰🇷 한글 설명
PHPFreeNews 1.40 및 이전 버전에서 여러 개의 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자는 NewsCategoryForm.php의 NewsMode 파라미터나 SearchResults.php의 Match 및 NewsMode 파라미터를 통해 임의의 웹 스크립트나 HTML을 주입할 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 입력창에 악성 코드를 심어 다른 사용자의 브라우저에서 실행되게 만드는 취약점입니다. 이를 통해 공격자가 사용자의 쿠키를 훔치거나 페이지 내용을 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHPFreeNews 1.40 and earlier allow remote attackers to inject arbitrary web script or HTML via the (1) NewsMode parameter to NewsCategoryForm.php, or the (2) Match or (3) NewsMode parameter to SearchResults.php.
📍 영향받는 시스템
PHPFreeNews 1.40 및 이전 버전
⚔️ 공격 벡터
HTTP GET/POST 요청의 특정 파라미터(NewsMode, Match)에 악성 스크립트 주입
🛡️ 대응 방법
최신 버전으로 업데이트하거나, 사용자 입력값에 대한 HTML 엔티티 인코딩 및 필터링을 적용하십시오.
🔧 검증 코드
명령어 실행 결과 취약한 파일들이 존재한다는 메시지가 출력되면 해당 애플리케이션이 설치된 상태입니다.
ls NewsCategoryForm.php SearchResults.php 2>/dev/null && echo 'Vulnerable files detected'