🇰🇷 한글 설명
PHP 4.4.1과 5.1.1에서 display_errors와 html_errors 설정이 활성화되었을 때 발생하는 XSS 취약점입니다. 필터링되지 않은 사용자 입력이 에러 메시지에 포함되어 공격자가 임의의 웹 스크립트나 HTML을 주입할 수 있습니다.
💡 쉬운 설명
웹사이트에서 오류가 발생했을 때 사용자가 입력한 정보가 오류 메시지에 그대로 표시되면 악성 코드를 숨겨서 전송할 수 있습니다. 이를 통해 방문자들의 정보 탈취나 악성 사이트로의 리다이렉트가 가능합니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHP 4.4.1 and 5.1.1, when display_errors and html_errors are on, allow remote attackers to inject arbitrary web script or HTML via inputs to PHP applications that are not filtered when they are included in the resulting error message.
📍 영향받는 시스템
PHP 4.4.1, PHP 5.1.1
⚔️ 공격 벡터
display_errors와 html_errors가 활성화된 PHP 애플리케이션에 악성 스크립트가 포함된 입력값을 제공하여 에러 페이지를 통해 XSS 페이로드 실행
🛡️ 대응 방법
PHP 설정에서 display_errors와 html_errors를 Off로 설정하거나 PHP를 패치된 버전으로 업그레이드하고 모든 사용자 입력 필터링
🔧 검증 코드
PHP 버전이 4.4.1 또는 5.1.1이고 display_errors 또는 html_errors가 On으로 설정되어 있으면 취약함을 확인할 수 있습니다.
php -v | grep -E 'PHP (4\.4\.1|5\.1\.1)' && php -i | grep -E 'display_errors|html_errors' | grep -i 'on'