🇰🇷 한글 설명
ActiveCalendar 1.2.0의 여러 PHP 파일(flatevents.php, js.php, mysqlevents.php 등)에서 css 파라미터를 통한 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자가 악의적인 자바스크립트를 주입하여 사용자 브라우저에서 실행하게 할 수 있습니다.
💡 쉬운 설명
ActiveCalendar 달력 프로그램의 스타일(css) 설정 입력창을 악용하면 해커가 악성 코드를 몰래 심을 수 있습니다. 사용자가 이 페이지를 방문하면 코드가 자동으로 실행되어 개인정보가 유출되거나 계정이 탈취될 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in ActiveCalendar 1.2.0 allow remote attackers to inject arbitrary web script or HTML via the css parameter to (1) flatevents.php, (2) js.php, (3) mysqlevents.php, (4) m_2.php, (5) m_3.php, (6) m_4.php, (7) xmlevents.php, (8) y_2.php, or (9) y_3.php in data/.
📍 영향받는 시스템
ActiveCalendar 1.2.0 및 그 이전 버전의 data/ 디렉토리 내 9개 PHP 파일
⚔️ 공격 벡터
css 파라미터에 자바스크립트 페이로드를 삽입하여 저장형 또는 반사형 XSS 공격 수행
🛡️ 대응 방법
ActiveCalendar를 최신 버전으로 업그레이드하고, 입력값 검증 및 HTML 엔티티 인코딩 적용
🔧 검증 코드
명령어 실행 후 결과가 나타나면 해당 파일에서 css 파라미터가 적절히 검증되지 않고 있음을 의미하며 업그레이드 또는 패치 적용 필요
grep -r 'css.*\$_GET\|\$_POST' /path/to/activecalendar/ 2>/dev/null | grep -E 'flatevents|js\.php|mysqlevents|m_[234]\.php|xmlevents|y_[23]\.php'