🇰🇷 한글 설명
PHP Live! 3.2.2 이전 버전의 request.php 파일에서 pagex 매개변수의 입력값을 제대로 검증하지 않아 발생하는 크로스사이트 스크립팅(XSS) 취약점입니다. 공격자가 악의적인 웹 스크립트나 HTML을 주입하여 사용자의 세션을 탈취하거나 개인정보를 도용할 수 있습니다.
💡 쉬운 설명
PHP Live 채팅 프로그램에 악의적인 자바스크립트 코드를 입력할 수 있는 보안 구멍이 있습니다. 이를 악용하면 방문자의 정보를 훔치거나 다른 공격을 할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in request.php in PHP Live! 3.2.2 and earlier allows remote attackers to inject arbitrary web script or HTML via the pagex parameter.
📍 영향받는 시스템
PHP Live! 버전 3.2.2 이하
⚔️ 공격 벡터
request.php?pagex=[XSS_PAYLOAD] 형식으로 입력값 검증을 우회하여 스크립트 삽입
🛡️ 대응 방법
PHP Live! 3.2.3 이상으로 업그레이드 또는 입력값 필터링 및 HTML 이스케이프 처리 적용
🔧 검증 코드
찾은 request.php 파일이 존재하면 해당 버전을 확인하고, pagex 매개변수 처리 부분에서 htmlspecialchars() 또는 strip_tags() 같은 필터링 함수 사용 여부를 검토합니다.
find / -name 'request.php' 2>/dev/null | xargs grep -l 'pagex' 2>/dev/null