🇰🇷 한글 설명
NSSboard 6.1에서 BBcode가 비활성화된 상태의 HTML 태그 및 프로필의 사용자명, 이메일, 실명 필드를 통해 임의의 스크립트를 주입할 수 있는 XSS 취약점입니다. 공격자는 사용자 입력을 검증하지 않는 부분을 악용하여 악성 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
옛날 포럼 소프트웨어에서 사용자 이름, 이메일 등의 개인정보 입력란에 악성 코드를 숨겨 넣을 수 있는 보안 허점입니다. 다른 사용자가 이 프로필을 볼 때 그 악성 코드가 자동으로 실행되는 문제가 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in NSSboard (formerly Simple PHP Forum) 6.1 allow remote attackers to inject arbitrary web script or HTML via (1) HTML tags when BBcode is disabled; or the (2) user, (3) email, or (4) Real Name fields in a profile.
📍 영향받는 시스템
NSSboard (Simple PHP Forum) 6.1 이하
⚔️ 공격 벡터
프로필 필드(사용자명, 이메일, 실명) 또는 BBcode 비활성화 상태의 HTML 태그 입력을 통한 XSS 주입
🛡️ 대응 방법
NSSboard를 최신 버전으로 업그레이드하거나 모든 사용자 입력에 대해 HTML 이스케이프 처리 및 입력 검증 적용
🔧 검증 코드
포럼 소프트웨어가 설치된 경로가 표시되면 해당 버전을 확인하고 6.1 이하인지 검증 후 업그레이드 필요
find /var/www -name 'nssboard' -o -name 'forum' 2>/dev/null | head -5