🇰🇷 한글 설명
Andy's PHP Knowledgebase 0.57의 여러 페이지에서 사용자 입력값이 제대로 검증되지 않아 XSS 취약점이 발생합니다. 공격자는 index.php, submit_article.php, submit_question.php의 여러 매개변수에 악의적인 JavaScript 코드를 주입할 수 있으며, 이는 피해 사용자의 브라우저에서 실행됩니다.
💡 쉬운 설명
이 취약점은 웹사이트가 사용자 입력을 안전하게 처리하지 않아 공격자가 악의적인 코드를 삽입할 수 있는 문제입니다. 해당 웹사이트를 방문한 사용자들이 자동으로 공격자의 코드에 노출됩니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in Andy's PHP Knowledgebase (aphpkb) 0.57 allow remote attackers to inject arbitrary web script or HTML via the (1) keyword_list parameter to (a) index.php; (2) title, (3) article, (4) author, and (5) keywords parameters to (b) submit_article.php; and (6) Question, (7) Name, and (8) Email parameters to (c) submit_question.php.
📍 영향받는 시스템
Andy's PHP Knowledgebase (aphpkb) 0.57 및 이전 버전
⚔️ 공격 벡터
index.php의 keyword_list, submit_article.php의 title/article/author/keywords, submit_question.php의 Question/Name/Email 매개변수에 XSS 페이로드 주입
🛡️ 대응 방법
0.57 이후 버전으로 업그레이드하거나 htmlspecialchars()/htmlentities()를 통한 HTML 엔티티 인코딩 적용
🔧 검증 코드
aphpkb 디렉토리가 반환되면 설치 여부 확인, 해당 디렉토리의 version.txt에서 0.57 버전 확인 시 취약 버전 운영 중
find / -name 'aphpkb' -type d 2>/dev/null | head -1