🇰🇷 한글 설명
phpLDAPadmin 0.9.8 이하 버전의 여러 파일(compare_form.php, copy_form.php 등)에서 dn, scope 파라미터와 필드값이 제대로 검증되지 않아 XSS 공격에 취약합니다. 공격자는 악의적인 스크립트를 주입하여 사용자의 세션을 탈취하거나 개인정보를 도용할 수 있습니다.
💡 쉬운 설명
LDAP 관리 웹도구에서 사용자 입력을 제대로 검사하지 않아 웹페이지에 악성 코드를 심을 수 있는 보안 결함입니다. 이를 이용해 다른 사용자가 접근할 때 그들의 정보를 훔치거나 계정을 조종할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in phpLDAPadmin 0.9.8 and earlier allow remote attackers to inject arbitrary web script or HTML via the (1) dn parameter in (a) compare_form.php, (b) copy_form.php, (c) rename_form.php, (d) template_engine.php, and (e) delete_form.php; (2) scope parameter in (f) search.php; and (3) Container DN, (4) Machine Name, and (5) UID Number fields in (g) template_engine.php.
📍 영향받는 시스템
phpLDAPadmin 0.9.8 이하 모든 버전
⚔️ 공격 벡터
dn, scope 파라미터와 Container DN, Machine Name, UID Number 필드에 HTML/JavaScript 코드를 주입
🛡️ 대응 방법
phpLDAPadmin을 0.9.9 이상 버전으로 업그레이드하거나 입력값에 대한 HTML 인코딩 적용
🔧 검증 코드
설치된 phpLDAPadmin 버전을 확인하여 0.9.8 이하면 취약하고, 0.9.9 이상이면 패치된 버전입니다.
dpkg -l | grep phpldapadmin | awk '{print $3}'