🇰🇷 한글 설명
Drupal 5.x(5.2 이전)와 4.7.x(4.7.7 이전)의 다중 XSS 취약점으로, 공격자가 PHP_SELF 등의 서버 변수를 통해 악성 스크립트를 주입할 수 있습니다. 또한 인증된 관리자가 커스텀 콘텐츠 타입 이름을 통해 XSS를 수행할 수 있습니다.
💡 쉬운 설명
Drupal 웹사이트의 오래된 버전에서 악의적인 사람이 웹페이지에 악성 코드를 숨겨 넣을 수 있는 보안 문제입니다. 이를 통해 사용자의 정보를 훔치거나 피해를 줄 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in Drupal 5.x before 5.2, and 4.7.x before 4.7.7, (1) allow remote attackers to inject arbitrary web script or HTML via "some server variables," including PHP_SELF; and (2) allow remote authenticated administrators to inject arbitrary web script or HTML via custom content type names.
📍 영향받는 시스템
Drupal 5.0-5.1, Drupal 4.7.0-4.7.6
⚔️ 공격 벡터
PHP_SELF 등의 서버 변수 또는 커스텀 콘텐츠 타입 이름을 통한 비제한 XSS 주입
🛡️ 대응 방법
Drupal을 5.2 이상 또는 4.7.7 이상으로 즉시 업그레이드
🔧 검증 코드
결과에서 Drupal 버전이 5.2 미만이거나 4.7.7 미만이면 취약합니다.
grep -r 'define.*VERSION' /var/www/html/includes/common.inc 2>/dev/null || dpkg -l | grep drupal