🇰🇷 한글 설명
PhpBB Toplist 1.3.7의 toplist.php에서 새 사이트 추가 시 Name과 Information 필드에 대한 입력 검증이 부족하여 XSS 취약점이 발생합니다. 공격자가 악의적인 HTML이나 JavaScript 코드를 주입하여 다른 사용자의 브라우저에서 실행되게 할 수 있습니다.
💡 쉬운 설명
웹사이트 목록에 새 사이트를 추가할 때 이름 입력란에 악성 코드를 집어넣을 수 있는 보안 구멍입니다. 이를 통해 다른 사용자가 실제로 보는 페이지에서 자동으로 악성 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in toplist.php in PhpBB Toplist 1.3.7 allows remote attackers to inject arbitrary HTML or web script via the (1) Name and (2) Information fields when adding a new site (toplistnew action).
📍 영향받는 시스템
PhpBB Toplist 1.3.7 및 이전 버전
⚔️ 공격 벡터
toplistnew 액션에서 Name, Information 필드에 스크립트 코드 삽입
🛡️ 대응 방법
PhpBB Toplist를 최신 버전으로 업그레이드하거나 입력 데이터에 대한 검증 및 이스케이프 처리 추가
🔧 검증 코드
출력된 파일 경로에서 toplist.php의 버전을 확인하고 1.3.7 이하인 경우 취약점이 있을 가능성이 높음
grep -r 'toplist.php' /var/www/html 2>/dev/null | head -1