🇰🇷 한글 설명
PHPOLL 0.96의 language 파라미터에서 발생하는 다중 XSS 취약점입니다. 공격자가 index.php, info.php, 관리자 페이지의 8개 파일을 통해 임의의 JavaScript나 HTML을 주입할 수 있습니다.
💡 쉬운 설명
PHPOLL 투표 프로그램의 언어 선택 기능에 보안 결함이 있어서 공격자가 악의적인 코드를 웹페이지에 숨길 수 있습니다. 사용자가 조작된 URL을 클릭하면 공격자의 코드가 브라우저에서 실행됩니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHPOLL 0.96 allow remote attackers to inject arbitrary web script or HTML via the language parameter to (1) index.php, (2) info.php; and (3) index.php, (4) votanti.php, (5) risultati_config.php, (6) modifica_band.php, (7) band_editor.php, and (8) config_editor.php in admin/.
📍 영향받는 시스템
PHPOLL 0.96 (index.php, info.php, admin/index.php, admin/votanti.php, admin/risultati_config.php, admin/modifica_band.php, admin/band_editor.php, admin/config_editor.php)
⚔️ 공격 벡터
language 파라미터에 JavaScript 페이로드를 삽입하여 사용자의 브라우저에서 임의 코드 실행
🛡️ 대응 방법
PHPOLL을 최신 버전으로 업그레이드하거나 language 파라미터에 대한 입력 검증 및 HTML 이스케이핑 구현
🔧 검증 코드
PHPOLL 설치 경로가 표시되면 설치 확인, 0.96 버전 정보가 검색되면 해당 버전이 취약합니다.
find /var/www -name '*.php' -path '*/phpoll*' 2>/dev/null | xargs grep -l 'phpoll' | head -1 || grep -r 'version.*0\.96' /var/www 2>/dev/null | head -1