🇰🇷 한글 설명
phpCommunityCalendar 4.0.3에서 발견된 교차 사이트 스크립팅(XSS) 취약점으로, 원격 공격자가 week.php/month.php의 LoName 파라미터 및 event.php의 AddressLink 파라미터를 통해 임의의 스크립트나 HTML을 주입할 수 있습니다. 사용자 입력에 대한 부적절한 검증으로 인해 발생한 취약점입니다.
💡 쉬운 설명
이 취약점은 달력 애플리케이션의 특정 입력 필드에 악성 코드를 삽입할 수 있게 해줍니다. 피해자가 해당 페이지를 방문하면 공격자의 스크립트가 실행되어 개인정보 탈취나 세션 탈취 등의 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in phpCommunityCalendar 4.0.3 allow remote attackers to inject arbitrary web script or HTML via the (1) LoName parameter in (a) week.php and (b) month.php and (2) AddressLink parameter in (c) event.php.
📍 영향받는 시스템
phpCommunityCalendar 4.0.3 이전 버전
⚔️ 공격 벡터
LoName 파라미터(week.php, month.php)나 AddressLink 파라미터(event.php)에 JavaScript 코드 주입
🛡️ 대응 방법
phpCommunityCalendar를 패치된 버전으로 업데이트하고, 모든 사용자 입력에 대해 HTML 엔티티 인코딩 및 입력 검증 수행
🔧 검증 코드
결과가 반환되면 설치된 phpCommunityCalendar의 위치를 확인할 수 있으며, 해당 파일의 버전정보를 확인하여 4.0.3 여부를 판단합니다.
find / -name 'calendar.php' -o -name 'week.php' 2>/dev/null | head -5