🇰🇷 한글 설명
PHP Live! 3.2.2 이하 버전의 다중 XSS 취약점으로, setup/transcripts.php의 search_string, index.php의 l 파라미터, phplive/index.php의 login 필드, phplive/message_box.php의 deptid 및 x 파라미터를 통해 임의의 스크립트를 주입할 수 있습니다. 공격자는 피해자로 하여금 악성 링크를 클릭하게 하여 세션 탈취 및 계정 장악이 가능합니다.
💡 쉬운 설명
PHP Live! 채팅 소프트웨어가 사용자 입력을 제대로 검증하지 않아 악의적인 코드를 삽입할 수 있습니다. 공격자가 이 취약점을 이용해 피해자의 계정을 탈취하거나 악성 콘텐츠를 배포할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHP Live! 3.2.2 and earlier allow remote attackers to inject arbitrary web script or HTML via the (1) search_string parameter in (a) setup/transcripts.php, the (2) l parameter in (b) index.php, the (3) login field in (c) phplive/index.php, and the (4) deptid and (5) x parameters in (d) phplive/message_box.php.
📍 영향받는 시스템
PHP Live! 3.2.2 이전 모든 버전
⚔️ 공격 벡터
검색 문자열, 로그인 필드, 메시지 박스 파라미터에 HTML/JavaScript 페이로드를 삽입하여 피해자 브라우저에서 실행
🛡️ 대응 방법
PHP Live! 3.2.3 이상으로 업그레이드하고 모든 사용자 입력에 대한 HTML 엔코딩 및 입력 유효성 검사 적용
🔧 검증 코드
PHP Live 설치 경로가 표시되면 설치 확인, 해당 디렉토리의 VERSION.txt나 설정 파일로 버전 확인 필요
find / -name phplive -o -name 'PHP Live*' 2>/dev/null | head -1