🇰🇷 한글 설명
PHPWebGallery 1.4.1에 존재하는 교차 사이트 스크립팅(XSS) 취약점입니다. category.php의 cat, num, search 매개변수와 picture.php의 slideshow, show_metadata, start 매개변수를 통해 임의의 웹 스크립트 또는 HTML을 주입할 수 있습니다.
💡 쉬운 설명
PHPWebGallery 웹사이트에서 URL의 특정 부분에 악의적인 코드를 숨겨 전송하면, 다른 사용자의 브라우저에서 그 코드가 실행될 수 있습니다. 이를 통해 공격자는 사용자의 정보를 탈취하거나 악성 행동을 수행할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHPWebGallery 1.4.1 allow remote attackers to inject arbitrary web script or HTML via the (1) cat, (2) num, and (3) search parameters to (a) category.php, and the (4) slideshow, (5) show_metadata, and (6) start parameters to (b) picture.php, a different vulnerability than CVE-2006-1674.
📍 영향받는 시스템
PHPWebGallery 1.4.1 이전 버전
⚔️ 공격 벡터
category.php와 picture.php의 쿼리 매개변수에 HTML/JavaScript 코드를 삽입하여 피해자가 조작된 URL 클릭 시 스크립트 실행
🛡️ 대응 방법
PHPWebGallery를 최신 버전으로 업그레이드하거나 입력값 검증 및 출력 인코딩 필터링 적용
🔧 검증 코드
PHPWebGallery 설치 경로를 확인하여 vulnerable 파일의 위치 파악, 버전 확인 후 패치 상태 검토
find / -name 'category.php' -o -name 'picture.php' 2>/dev/null | head -5