🇰🇷 한글 설명
Endy Kristanto 개발 phpwebnews 0.2 이전 버전에서 m_txt 파라미터를 통한 XSS 취약점이 발견되었습니다. 공격자가 iklan.php, index.php, bukutamu.php 파일에 악의적인 JavaScript 코드를 삽입하여 사용자 세션을 탈취하거나 악성 코드를 실행할 수 있습니다.
💡 쉬운 설명
이 버그는 사용자가 입력한 텍스트를 필터링하지 않아 웹사이트에 해킹 코드를 심을 수 있게 합니다. 방문자는 의도하지 않은 행동을 하거나 개인정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in Endy Kristanto Surat kabar / News Management Online (aka phpwebnews) 0.2 and earlier allow remote attackers to inject arbitrary web script or HTML via the m_txt parameter to (1) iklan.php, (2) index.php, or (3) bukutamu.php.
📍 영향받는 시스템
phpwebnews 0.2 및 이전 버전 (모든 플랫폼)
⚔️ 공격 벡터
공격자가 m_txt 파라미터에 JavaScript 코드를 포함한 URL을 생성하여 사용자에게 배포
🛡️ 대응 방법
phpwebnews를 최신 버전으로 업그레이드하거나 입력값 검증/HTML 인코딩 기능 추가
🔧 검증 코드
phpwebnews 설치가 발견되면 해당 경로는 취약 버전이 실행 중인 것으로 의심되며, 명령어 결과가 없으면 해당 애플리케이션이 설치되지 않은 상태입니다.
find /var/www -name 'iklan.php' -o -name 'bukutamu.php' 2>/dev/null | head -5