🇰🇷 한글 설명
PHP iAddressBook 0.95 이전 버전의 cat_name 파라미터를 통한 Cross-site Scripting(XSS) 취약점으로, 공격자가 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 카테고리 추가 기능에서 입력값이 충분히 검증되지 않아 발생하며, 피해자의 브라우저에서 악의적 코드가 실행될 수 있습니다.
💡 쉬운 설명
주소록 관리 프로그램의 카테고리 이름 입력 부분에 나쁜 코드를 몰래 넣을 수 있는 보안 문제입니다. 이 코드가 다른 사용자의 웹 브라우저에서 실행되어 정보 탈취나 계정 탈취가 가능합니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in PHP iAddressBook before 0.95 allows remote attackers to inject arbitrary web script or HTML via the cat_name parameter, related to adding a category. (categories field). NOTE: some details are obtained from third party information.
📍 영향받는 시스템
PHP iAddressBook 0.95 이전 모든 버전
⚔️ 공격 벡터
cat_name 파라미터에 XSS 페이로드를 삽입하여 카테고리 추가 기능 악용
🛡️ 대응 방법
PHP iAddressBook을 0.95 이상 버전으로 즉시 업그레이드
🔧 검증 코드
find 결과로 iAddressBook 설치 경로 확인 후, grep 결과에서 버전 번호가 0.95 미만인지 확인하여 취약 여부 판단
find /var/www -type d -iname '*iaddressbook*' 2>/dev/null && grep -r 'iAddressBook' /var/www 2>/dev/null | grep -i version | head -1