🇰🇷 한글 설명
PHP Address Book 3.1.5 이하 버전에서 group 파라미터를 통한 XSS 취약점으로, 공격자가 악의적인 스크립트를 삽입할 수 있습니다. index.php 등에서 사용자 입력이 적절히 검증되지 않아 발생합니다.
💡 쉬운 설명
PHP Address Book 웹앱에서 검색창이나 그룹 선택 부분에 악성 코드를 넣으면 다른 사용자들이 그 코드를 실행하게 됩니다. 이를 통해 계정 탈취나 개인정보 유출이 가능합니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHP Address Book 3.1.5 and earlier allow remote attackers to inject arbitrary web script or HTML via the group parameter to (1) index.php or (2) the default URI.
📍 영향받는 시스템
PHP Address Book 3.1.5 및 이전 버전
⚔️ 공격 벡터
group 파라미터에 HTML/JavaScript 코드 주입 (index.php 또는 기본 URI)
🛡️ 대응 방법
최신 버전으로 업그레이드 또는 group 파라미터 입력값 검증 및 HTML 이스케이프 처리 적용
🔧 검증 코드
명령어가 디렉토리 경로를 반환하면 설치됨, 반환값 없으면 미설치. 반환된 경로의 CHANGELOG나 index.php에서 버전 번호를 확인하여 3.1.5 이하인지 검증
find /var/www -type d -name '*addressbook*' 2>/dev/null | head -1