🇰🇷 한글 설명
phpCommunityCalendar 4.0.3 및 이전 버전에서 다수의 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자는 LocationID, font, CeTi, Contact 등 다양한 파라미터를 통해 임의의 웹 스크립트나 HTML을 주입할 수 있습니다.
💡 쉬운 설명
웹사이트의 입력창에 악성 코드를 삽입하여 다른 사용자의 브라우저에서 실행되게 만드는 취약점입니다. 이를 통해 사용자의 세션 정보를 훔치거나 가짜 페이지로 유도할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in phpCommunityCalendar 4.0.3, and possibly earlier versions, allow remote attackers to inject arbitrary web script or HTML via the LocationID parameter to (1) thankyou.php or (2) day.php, font parameter to (3) calDaily.php, (4) calMonthly.php, (5) calMonthlyP.php, (6) calWeekly.php, (7) calWeeklyP.php, (8) calYearly.php, (9) calYearlyP.php, (10) day.php, or (11) week.php, or (12) CeTi, (13) Contact, (14) Description, (15) ShowAddress parameter to event.php, and other attack vectors.
📍 영향받는 시스템
phpCommunityCalendar 4.0.3 및 그 이전 버전
⚔️ 공격 벡터
URL 파라미터(LocationID, font, CeTi, Contact 등)에 악성 스크립트를 포함하여 전송
🛡️ 대응 방법
최신 버전으로 업데이트하거나, 모든 사용자 입력값에 대해 HTML 엔티티 인코딩을 적용하십시오.
🔧 검증 코드
명령어 실행 결과 phpCommunityCalendar 4.0.3 이하 버전의 경로가 출력되면 취약한 상태입니다.
grep -r "phpCommunityCalendar" /var/www/html | grep -E "4\.0\.[0-3]"