🇰🇷 한글 설명
phpWebSite 1.4.0의 검색 모듈 index.php에서 검색 파라미터를 통해 임의의 웹 스크립트 또는 HTML을 주입할 수 있는 XSS 취약점입니다. 사용자 입력이 충분히 검증되지 않아 공격자가 악의적 스크립트를 실행할 수 있습니다. 피해자의 세션 정보 탈취, 페이지 변조, 악성 소프트웨어 배포 등이 가능합니다.
💡 쉬운 설명
phpWebSite 검색 기능에 특수 문자를 입력하면 악성 코드가 실행될 수 있습니다. 사용자의 민감한 정보를 훔치거나 페이지를 변조할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in index.php in the search module in Appalachian State University phpWebSite 1.4.0 allows remote attackers to inject arbitrary web script or HTML via the search parameter.
📍 영향받는 시스템
phpWebSite 1.4.0 및 이전 버전
⚔️ 공격 벡터
search 파라미터에 XSS 페이로드 주입 (예: ?search=<script>alert('xss')</script>)
🛡️ 대응 방법
phpWebSite를 최신 버전으로 업그레이드하고, 사용자 입력에 대한 HTML 특수 문자 이스케이프 처리 구현
🔧 검증 코드
phpWebSite 설치 디렉토리의 search 관련 index.php 파일 존재 여부로 설치 상태 확인; 해당 파일의 입력 검증 로직에서 htmlspecialchars() 또는 htmlentities() 사용 여부를 소스 코드로 재확인 필요
grep -r 'index.php' /var/www/html/phpwebsite 2>/dev/null | grep -i search && echo 'Vulnerable version detected' || echo 'Not found'