🇰🇷 한글 설명
PHPepperShop 1.4에서 PATH_INFO 매개변수를 통해 여러 파일에 XSS 취약점이 존재합니다. 공격자는 index.php, shop/kontakt.php, shop_kunden_mgmt.php, SHOP_KONFIGURATION.php 등의 파일에 악의적인 스크립트를 주입하여 사용자 브라우저에서 실행할 수 있습니다.
💡 쉬운 설명
PHPepperShop 쇼핑 사이트 프로그램에 보안 구멍이 있어서, 공격자가 악의적인 코드를 웹페이지에 숨겨서 보낼 수 있습니다. 이를 통해 사용자의 개인정보나 쿠키가 도용될 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHPepperShop 1.4 allow remote attackers to inject arbitrary web script or HTML via the PATH_INFO to (1) index.php or (2) shop/kontakt.php, or (3) shop_kunden_mgmt.php or (4) SHOP_KONFIGURATION.php in shop/Admin/.
📍 영향받는 시스템
PHPepperShop 버전 1.4 이하
⚔️ 공격 벡터
PATH_INFO 매개변수를 조작하여 특정 PHP 파일에 XSS 페이로드 주입 (예: index.php?PATH_INFO=<script>alert()</script>)
🛡️ 대응 방법
PHPepperShop을 최신 버전으로 업그레이드하거나 보안 패치 적용, 입력값 검증 및 출력 인코딩 강화
🔧 검증 코드
결과에 PHPepperShop 파일이 존재하면 해당 버전을 확인하여 1.4 이하인지 검증합니다.
find / -name 'PHPepperShop*' -o -name 'shop_kunden_mgmt.php' 2>/dev/null | head -5