🇰🇷 한글 설명
PHPlist 2.10.1 및 이전 버전에서 여러 개의 크로스 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자는 관리자 페이지의 다양한 매개변수를 통해 임의의 웹 스크립트나 HTML 코드를 삽입할 수 있습니다.
💡 쉬운 설명
웹사이트의 입력창에 악성 코드를 심어 다른 사용자의 브라우저에서 실행되게 만드는 취약점입니다. 이를 통해 관리자의 세션 정보를 훔치거나 페이지 내용을 변조할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHPlist 2.10.1 and earlier allow remote attackers to inject arbitrary web script or HTML via the (1) listname parameter in (a) admin/editlist.php, (2) title parameter in (b) admin/spageedit.php, (3) title field in (c) admin/template.php, (4) filter, (5) delete, and (6) start parameters in (d) admin/eventlog.php, (7) id parameter in (e) admin/configure.php, (8) find parameter in (f) admin/users.php, (9) start parameter in (g) admin/admin.php, and (10) action parameter in (h) admin/fckphplist.php.
📍 영향받는 시스템
PHPlist 2.10.1 및 이전 버전
⚔️ 공격 벡터
관리자 페이지 내 특정 파라미터(listname, title, filter 등)에 악성 스크립트를 포함한 URL 요청 전송
🛡️ 대응 방법
PHPlist를 최신 버전으로 업데이트하거나 입력값에 대한 적절한 필터링 및 이스케이프 처리를 적용하십시오.
🔧 검증 코드
출력된 버전 번호가 2.10.1과 같거나 그보다 낮은 버전이면 취약한 상태입니다.
grep -r "version" /var/www/html/phplist/ | grep -E '2\.[0-9]{1,2}\.[0-9]{1,2}'