🇰🇷 한글 설명
PHP 5.2.5 이전 버전의 htmlentities 및 htmlspecialchars 함수가 부분적인 멀티바이트 문자 시퀀스를 잘못 처리하는 취약점입니다. 이를 통해 공격자가 HTML 인코딩 검증을 우회할 수 있습니다.
💡 쉬운 설명
PHP의 특수문자 변환 함수들이 일부 특수한 문자들을 제대로 처리하지 못합니다. 웹사이트 보안 검증을 우회하는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
The (1) htmlentities and (2) htmlspecialchars functions in PHP before 5.2.5 accept partial multibyte sequences, which has unknown impact and attack vectors, a different issue than CVE-2006-5465.
📍 영향받는 시스템
PHP 5.2.5 이전의 모든 버전 (5.2.4, 5.1.x, 5.0.x, 4.x)
⚔️ 공격 벡터
부분적인 멀티바이트 문자 시퀀스를 포함한 입력값을 htmlentities/htmlspecialchars 함수에 전달하여 인코딩 우회
🛡️ 대응 방법
PHP를 5.2.5 이상으로 긴급 업그레이드하거나 htmlspecialchars 함수의 ENT_QUOTES 플래그 적용
🔧 검증 코드
현재 설치된 PHP 버전이 5.2.5 이상인지 확인합니다. 5.2.5 미만이면 취약점 대상입니다.
php -v | grep -oP 'PHP \K[0-9.]+'