🇰🇷 한글 설명
PHPizabi의 index.php에서 blogs.search 액션의 query 파라미터가 사용자 입력을 제대로 검증하지 않아 XSS 취약점이 발생합니다. 공격자가 악성 JavaScript나 HTML을 주입하면 피해자의 브라우저에서 실행되어 세션 탈취나 개인정보 유출이 가능합니다.
💡 쉬운 설명
PHPizabi 블로그 검색창에서 사용자가 입력한 값을 확인하지 않아서 악성 코드를 몰래 숨길 수 있는 문제입니다. 공격자가 만든 링크를 클릭하면 사용자 계정이 해킹되거나 개인정보가 도용될 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in index.php in PHPizabi before 848 Core HotFix Pack 3 allows remote attackers to inject arbitrary web script or HTML via the query parameter in a blogs.search action.
📍 영향받는 시스템
PHPizabi < version 848 Core HotFix Pack 3
⚔️ 공격 벡터
https://target.com/index.php?action=blogs.search&query=<script>alert('xss')</script>와 같은 형태로 query 파라미터에 XSS 페이로드 주입
🛡️ 대응 방법
PHPizabi를 버전 848 Core HotFix Pack 3 이상으로 업그레이드하거나 입력값을 HTML 엔티티로 인코딩 및 검증하는 WAF/패치 적용
🔧 검증 코드
설치된 PHPizabi 버전이 848 미만이면 취약하며, 출력이 없으면 시스템에 설치되지 않은 상태입니다.
dpkg -l 2>/dev/null | grep -i phpizabi || rpm -qa 2>/dev/null | grep -i phpizabi