🇰🇷 한글 설명
Softcomplex PHP Event Calendar 1.5에서 username과 password 파라미터가 적절히 검증되지 않아 발생하는 XSS 취약점입니다. 인증된 사용자가 users.php 파일에 임의의 웹 스크립트나 HTML을 주입하여 데이터를 손상시킬 수 있습니다.
💡 쉬운 설명
오래된 달력 프로그램에서 사용자 이름과 비밀번호를 제대로 확인하지 않아 나쁜 코드를 삽입할 수 있는 문제입니다. 해킹된 계정이 있으면 시스템을 망칠 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in Softcomplex PHP Event Calendar 1.5 allows remote authenticated users to inject arbitrary web script or HTML, and corrupt data, via the (1) username and (2) password parameters, which are not sanitized before being written to users.php. NOTE: while this issue was originally reported as XSS, the primary issue might be direct static code injection with resultant XSS.
📍 영향받는 시스템
Softcomplex PHP Event Calendar 1.5 및 그 이전 버전
⚔️ 공격 벡터
인증된 사용자가 로그인 폼의 username/password 필드에 스크립트 코드를 입력하면 users.php에 저장되어 실행됨
🛡️ 대응 방법
최신 버전으로 업그레이드 또는 input validation/sanitization 함수(htmlspecialchars, filter_var) 적용
🔧 검증 코드
파일이 발견되면 해당 버전의 Event Calendar가 설치된 것이며, 버전을 확인하여 1.5 이하인지 확인 필요
find /var/www -name 'users.php' -path '*event*calendar*' 2>/dev/null | head -5