🇰🇷 한글 설명
PHP-Fusion 6.01.3 이전 버전의 submit.php에서 여러 개의 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자는 edit_profile.php를 통해 GIF 헤더 뒤에 자바스크립트 코드가 포함된 이미지 파일(.gif 또는 .jpg)을 업로드하여 임의의 웹 스크립트나 HTML을 실행할 수 있으며, 이는 특히 인터넷 익스플로러에서 실행됩니다.
💡 쉬운 설명
이미지 파일인 척하면서 실제로는 악성 코드를 숨겨 업로드하는 공격입니다. 사용자가 이 이미지를 볼 때 브라우저에서 숨겨진 코드가 실행되어 보안 위험이 발생할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in submit.php in PHP-Fusion before 6.01.3 allow remote attackers to inject arbitrary web script or HTML by using edit_profile.php to upload a (1) avatar or (2) forum image attachment that has a .gif or .jpg extension, and begins with a GIF header followed by JavaScript code, which is executed by Internet Explorer.
📍 영향받는 시스템
PHP-Fusion 버전 6.01.3 미만
⚔️ 공격 벡터
GIF/JPG 확장자를 가진 파일에 GIF 헤더와 자바스크립트를 삽입하여 업로드하는 방식
🛡️ 대응 방법
PHP-Fusion을 6.01.3 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 숫자가 6.01.3보다 낮은 경우 취약한 상태입니다.
grep -r "version" /var/www/html/php-fusion/config.php | grep -E '[0-9.]+'