🇰🇷 한글 설명
PHP Multi User Randomizer (phpMUR) 2006.09.13 버전에서 edit_plugin 파라미터와 배열 파라미터를 통해 XSS 취약점이 존재합니다. 공격자는 configure_plugin.tpl.php와 web/phpinfo.php 등에 악의적인 스크립트를 주입할 수 있습니다.
💡 쉬운 설명
phpMUR이라는 PHP 프로그램이 사용자 입력을 제대로 검증하지 않아, 악의적인 웹 코드를 주입당할 수 있습니다. 공격자가 조작된 URL을 통해 다른 사용자의 브라우저에서 임의의 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHP Multi User Randomizer (phpMUR) 2006.09.13 allow remote attackers to inject arbitrary web script or HTML via (1) the edit_plugin parameter to configure_plugin.tpl.php, or (2) certain array parameters to web/phpinfo.php, as demonstrated by 1[] or a[].
📍 영향받는 시스템
PHP Multi User Randomizer (phpMUR) version 2006.09.13 및 이전 버전
⚔️ 공격 벡터
URL 파라미터(edit_plugin, 배열 파라미터 등)를 통한 반영형 XSS 공격
🛡️ 대응 방법
phpMUR을 최신 버전으로 업그레이드하고, 입력값 검증 및 HTML 인코딩 필터링 적용
🔧 검증 코드
시스템에 phpMUR 관련 파일이 설치되어 있는지 확인하며, 파일이 존재하면 버전 정보를 확인하여 2006.09.13 이전 버전인지 검증
find / -name '*phpMUR*' -o -name '*phpinfo.php' 2>/dev/null | head -5