🇰🇷 한글 설명
PHP Weather 2.2.2의 config/make_config.php 파일에서 PATH_INFO 매개변수를 통해 임의의 웹 스크립트나 HTML을 주입할 수 있는 반사형 크로스사이트 스크립팅(XSS) 취약점입니다. 공격자가 이를 악용하면 피해자의 브라우저에서 악성 스크립트를 실행시켜 세션 탈취, 쿠키 도용, 피싱 공격 등을 수행할 수 있습니다.
💡 쉬운 설명
PHP Weather 설정 페이지가 사용자 입력을 제대로 검증하지 않아 공격자가 악성 코드를 삽입할 수 있습니다. 사용자가 공격 링크를 클릭하면 개인정보가 유출되거나 계정이 탈취될 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in config/make_config.php in PHP Weather 2.2.2 allows remote attackers to inject arbitrary web script or HTML via the PATH_INFO.
📍 영향받는 시스템
PHP Weather 2.2.2 이하
⚔️ 공격 벡터
PATH_INFO 매개변수를 통한 URL 기반 반사형 XSS (예: /config/make_config.php?PATH_INFO=<script>alert('xss')</script>)
🛡️ 대응 방법
PHP Weather를 최신 버전으로 업데이트하거나, 입력값을 HTML 엔티티로 인코딩하고 URL 검증 수행
🔧 검증 코드
make_config.php 파일이 발견되면 PHP Weather가 설치된 것이며, 해당 설치본의 버전을 VERSION 파일이나 코드에서 확인하여 2.2.2 이하인 경우 즉시 업데이트 필요
find / -type f -name 'make_config.php' 2>/dev/null | head -5