🇰🇷 한글 설명
PHP-Fusion 6.01.10 및 6.01.9의 shoutbox_panel.php에 존재하는 XSS 취약점으로, 게스트 포스트가 활성화된 상태에서 URI를 통해 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. FUSION_QUERY 상수와 관련된 불충분한 입력 검증으로 인한 취약점입니다.
💡 쉬운 설명
웹사이트의 방명록 같은 게스트 기능에서 악성 코드를 숨겨 보낼 수 있는 보안 허점입니다. 이 코드가 실행되면 다른 사용자들의 정보를 도용하거나 계정을 해킹할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in infusions/shoutbox_panel/shoutbox_panel.php in PHP-Fusion 6.01.10 and 6.01.9, when guest posts are enabled, allows remote authenticated users to inject arbitrary web script or HTML via the URI, related to the FUSION_QUERY constant.
📍 영향받는 시스템
PHP-Fusion 6.01.10, 6.01.9 (게스트 포스트 활성화 상태)
⚔️ 공격 벡터
인증된 사용자가 URI 파라미터를 조작하여 XSS 페이로드를 shoutbox_panel.php에 주입
🛡️ 대응 방법
PHP-Fusion을 최신 버전으로 업그레이드하거나 입력값 검증(input validation) 및 출력 인코딩(output encoding) 적용
🔧 검증 코드
파일이 발견되면 해당 PHP-Fusion 설치본이 취약점 대상일 가능성이 있으며, 버전 확인 후 패치 필요
find /var/www/html -name 'shoutbox_panel.php' -type f 2>/dev/null | xargs grep -l 'FUSION_QUERY' 2>/dev/null