🇰🇷 한글 설명
Phpwebgallery 1.4.1의 Register.php와 Search.php 여러 필드에서 발생하는 크로스사이트 스크립팅(XSS) 취약점으로, 원격 공격자가 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 로그인, 이메일, 검색 필터 등 다양한 입력 필드가 영향을 받으며, 1.6.2 및 다른 버전도 취약할 수 있습니다.
💡 쉬운 설명
웹사이트의 회원가입과 검색 폼에 악의적인 스크립트를 입력하면 다른 사용자들이 그 스크립트를 실행하게 되는 보안 문제입니다. 공격자가 사용자의 계정 정보를 탈취하거나 페이지를 변조할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in Phpwebgallery 1.4.1 allow remote attackers to inject arbitrary web script or HTML via the (1) login or (2) mail_address field in Register.php, or the (3) search_author, (4) mode, (5) start_year, (6) end_year, or (7) date_type field in Search.php, a different vulnerability than CVE-2006-1674. NOTE: 1.6.2 and other versions might also be affected.
📍 영향받는 시스템
Phpwebgallery 1.4.1, 1.6.2 및 기타 버전
⚔️ 공격 벡터
Register.php의 login/mail_address 필드 또는 Search.php의 search_author/mode/start_year/end_year/date_type 필드에 HTML/JavaScript 페이로드 주입
🛡️ 대응 방법
Phpwebgallery를 최신 보안 패치 버전으로 업그레이드하고, 모든 사용자 입력에 대해 htmlspecialchars() 등으로 이스케이프 처리 적용
🔧 검증 코드
명령어가 버전 정보를 반환하면 취약한 버전이 설치된 상태이며, 아무것도 반환되지 않으면 해당 경로에 Phpwebgallery가 설치되지 않았거나 다른 위치에 설치된 상태입니다.
grep -r '1\.4\.1\|1\.6\.2' /var/www/html 2>/dev/null | head -1