🇰🇷 한글 설명
Codewalkers ltwCalendar 4.2.1 이전 버전에서 발견된 Cross-Site Scripting(XSS) 취약점으로, 공격자가 미확인된 입력 벡터를 통해 임의의 HTML이나 웹 스크립트를 주입할 수 있습니다. 이를 통해 사용자의 브라우저에서 악성 스크립트가 실행되어 세션 탈취, 쿠키 도용, 개인정보 탈취 등의 피해가 발생할 수 있습니다.
💡 쉬운 설명
일정 관리 웹사이트에 보안 구멍이 있어서 해커가 악성 코드를 심을 수 있습니다. 이 코드는 사이트 방문자의 브라우저에서 자동으로 실행되어 정보를 도용당하거나 다른 공격을 받을 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in Codewalkers ltwCalendar (aka PHP Event Calendar) before 4.2.1 allows remote attackers to inject arbitrary HTML or web script via unknown vectors.
📍 영향받는 시스템
Codewalkers ltwCalendar (PHP Event Calendar) 버전 4.2.0 이하
⚔️ 공격 벡터
미확인 입력 필드를 통해 XSS 페이로드를 주입하여 사용자 브라우저에서 임의의 JavaScript 실행
🛡️ 대응 방법
ltwCalendar를 버전 4.2.1 이상으로 즉시 업그레이드하거나 XSS 필터링을 적용
🔧 검증 코드
명령어 실행 후 파일이 발견되면 해당 파일을 열어 버전을 확인하여 4.2.0 이하인 경우 취약점 존재, 4.2.1 이상이면 안전
find /var/www -type f -name '*calendar*.php' 2>/dev/null | xargs grep -l 'ltwCalendar\|version.*4\.[0-2]' 2>/dev/null | head -5