🇰🇷 한글 설명
Ourvideo CMS 9.5의 phpi/login.php 파일에서 top_page, end_page 파라미터를 통한 다중 XSS 취약점이 발견되었습니다. 공격자가 임의의 웹 스크립트나 HTML 코드를 주입할 수 있습니다.
💡 쉬운 설명
웹사이트의 로그인 페이지에서 사용자가 입력한 데이터를 제대로 검증하지 않아, 해커가 악의적인 코드를 심을 수 있습니다. 이 코드가 다른 사용자의 브라우저에서 실행되어 계정 정보를 탈취하거나 피싱 공격에 이용될 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in phpi/login.php in Ourvideo CMS 9.5 allow remote attackers to inject arbitrary web script or HTML via the (1) top_page and (2) end_page parameters.
📍 영향받는 시스템
Ourvideo CMS 버전 9.5 이하
⚔️ 공격 벡터
GET/POST 요청의 top_page, end_page 파라미터에 HTML/JavaScript 태그를 삽입하여 XSS 공격 수행
🛡️ 대응 방법
Ourvideo CMS를 최신 버전으로 업그레이드하거나, 사용자 입력값을 HTML 인코딩하고 XSS 방지 필터 적용
🔧 검증 코드
결과가 나타나면 취약한 버전의 Ourvideo CMS가 설치되어 있으며, 응답 페이지에서 입력값이 그대로 출력되는지 확인하여 XSS 가능성을 검증할 수 있습니다.
find / -name 'login.php' -path '*/phpi/*' 2>/dev/null | xargs grep -l 'top_page\|end_page' 2>/dev/null