🇰🇷 한글 설명
PhpGedView 4.1.1에서 box_width, PEDIGREE_GENERATIONS, rootid, newpid 등의 파라미터를 통해 악의적인 스크립트를 주입할 수 있는 XSS 취약점이 발견되었습니다. 공격자가 웹 페이지에 임의의 JavaScript 코드를 삽입하여 사용자 세션을 탈취하거나 악성 동작을 수행할 수 있습니다.
💡 쉬운 설명
PhpGedView 웹사이트의 특정 페이지에서 사용자가 입력한 값이 제대로 필터링되지 않아, 악의적인 사람이 해로운 코드를 숨겨 보낼 수 있습니다. 그 코드는 다른 사용자들의 컴퓨터에서 실행되어 정보 도용이나 피해를 줄 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PhpGedView 4.1.1 allow remote attackers to inject arbitrary web script or HTML via the (1) box_width, (2) PEDIGREE_GENERATIONS, and (3) rootid parameters in ancestry.php, and the (4) newpid parameter in timeline.php. NOTE: the provenance of this information is unknown; the details are obtained solely from third party information.
📍 영향받는 시스템
PhpGedView 4.1.1 및 이전 버전
⚔️ 공격 벡터
ancestry.php와 timeline.php의 파라미터에 JavaScript 코드를 삽입하여 사용자 브라우저에서 실행
🛡️ 대응 방법
PhpGedView를 최신 버전으로 업그레이드하고, 모든 사용자 입력값에 대해 HTML/JavaScript 인코딩 처리를 적용
🔧 검증 코드
ancestry.php 또는 timeline.php 파일이 존재하면 PhpGedView가 설치된 것이며, 파일의 수정 날짜와 버전 정보를 확인하여 4.1.1 버전인지 검증
find / -name 'ancestry.php' -o -name 'timeline.php' 2>/dev/null | xargs grep -l 'PhpGedView' 2>/dev/null