🇰🇷 한글 설명
Openads와 phpPgAds의 admin-search.php에 존재하는 XSS 취약점으로, 원격 공격자가 임의의 웹 스크립트 또는 HTML 코드를 주입할 수 있습니다. 검증되지 않은 파라미터를 통해 악성 스크립트가 관리자 브라우저에서 실행되어 세션 탈취나 권한 남용이 가능합니다.
💡 쉬운 설명
광고 관리 프로그램의 검색 기능에 숨은 보안 구멍으로, 악의적인 코드를 몰래 주입할 수 있습니다. 이 코드가 관리자의 브라우저에서 실행되면 관리자 권한을 빼앗길 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in admin-search.php in (1) Openads for PostgreSQL (aka phpPgAds) before 2.0.10 and (2) Openads (aka phpAdsNew) before 2.0.10 allows remote attackers to inject arbitrary web script or HTML via unspecified parameters.
📍 영향받는 시스템
Openads (phpAdsNew) 2.0.10 이전 버전, Openads for PostgreSQL (phpPgAds) 2.0.10 이전 버전
⚔️ 공격 벡터
admin-search.php의 파라미터에 XSS 페이로드를 주입하여 관리자 세션 또는 자격증명 탈취
🛡️ 대응 방법
Openads를 2.0.10 이상으로 업그레이드하고 모든 사용자 입력에 대해 충분한 검증 및 이스케이핑 수행
🔧 검증 코드
파일에서 버전 문자열을 추출하여 2.0.10 미만인지 확인. 파일이 없으면 취약한 버전이 설치되지 않았음을 의미
grep -E 'VERSION|version' /var/www/html/openads/admin-search.php 2>/dev/null | head -1