🇰🇷 한글 설명
InterWorx Hosting Control Panel 3.0.2의 PATH_INFO 파라미터에서 발생하는 XSS 취약점입니다. 비인증 공격자가 index.php에, 인증된 사용자가 25개의 관리 파일에 임의의 스크립트를 주입할 수 있습니다.
💡 쉬운 설명
웹 호스팅 관리 시스템의 URL 입력 부분에 악의적인 스크립트를 삽입할 수 있는 보안 결함입니다. 관리자가 공격자의 악성 링크를 클릭하면 피해를 입을 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in InterWorx Hosting Control Panel (InterWorx-CP) Server Admin Level (NodeWorx) 3.0.2 (1) allow remote attackers to inject arbitrary web script or HTML via the PATH_INFO to index.php; and allow remote authenticated users to inject arbitrary web script or HTML via the PATH_INFO to (2) nodeworx.php, (3) users.php, (4) lang.php, (5) themes.php, (6) setup.php, (7) siteworx.php, (8) packages.php, (9) backup.php, (10) import.php, (11) scriptworx.php, (12) resellers.php, (13) reseller-packages.php, (14) http.php, (15) mail.php, (16) ftp.php, (17) mysql.php, (18) sshd.php, (19) nfs.php, (20) cron.php, (21) ip.php, (22) firewall.php, (23) updates.php, (24) rrd.php, or (25) cluster.php.
📍 영향받는 시스템
InterWorx Hosting Control Panel (NodeWorx) 3.0.2
⚔️ 공격 벡터
PATH_INFO 파라미터를 통한 XSS 주입 - index.php(비인증), nodeworx.php/users.php/themes.php 등 25개 파일(인증필요)
🛡️ 대응 방법
InterWorx-CP를 최신 버전으로 업그레이드 및 모든 입력 검증/출력 인코딩 강화