🇰🇷 한글 설명
TinyPortal 0.8.6 및 1.0.3의 index.php에 존재하는 XSS 취약점으로, PHPSESSID 파라미터를 통해 공격자가 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 세션 ID 검증 부족으로 인해 발생한 것으로 추정됩니다.
💡 쉬운 설명
TinyPortal 포털 소프트웨어의 세션 ID 처리 부분에서 입력값 검증이 부족해, 공격자가 악성 스크립트를 심을 수 있는 문제입니다. 사용자가 해당 링크를 클릭하면 공격자의 스크립트가 실행될 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in index.php in TinyPortal 0.8.6 and 1.0.3 allows remote attackers to inject arbitrary web script or HTML via the PHPSESSID parameter. NOTE: the provenance of this information is unknown; the details are obtained solely from third party information.
📍 영향받는 시스템
TinyPortal 0.8.6, 1.0.3
⚔️ 공격 벡터
PHPSESSID 파라미터에 HTML/JavaScript 코드를 삽입하여 피해자의 브라우저에서 실행
🛡️ 대응 방법
TinyPortal을 최신 버전으로 업그레이드하거나 index.php의 PHPSESSID 파라미터 검증 로직을 추가로 강화
🔧 검증 코드
명령어가 TinyPortal 설치 경로를 반환하면 시스템에 해당 소프트웨어가 설치된 것이며, 버전 확인 후 0.8.6 또는 1.0.3이면 취약함
find / -name 'index.php' -path '*/tinyportal/*' 2>/dev/null | head -5