🇰🇷 한글 설명
PHP 5.2.7 이전 버전에서 display_errors가 활성화되어 있을 때 발생하는 크로스사이트 스크립팅(XSS) 취약점입니다. 공격자가 임의의 웹 스크립트나 HTML을 주입할 수 있으며, 세부 정보 부족으로 인해 CVE-2006-0208과의 정확한 연관성은 불명확합니다.
💡 쉬운 설명
PHP 웹서버에서 에러 메시지를 화면에 표시하도록 설정했을 때, 공격자가 악의적인 코드를 삽입할 수 있는 보안 문제입니다. 사용자의 세션 정보나 쿠키를 도용당할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in PHP, possibly 5.2.7 and earlier, when display_errors is enabled, allows remote attackers to inject arbitrary web script or HTML via unspecified vectors. NOTE: because of the lack of details, it is unclear whether this is related to CVE-2006-0208.
📍 영향받는 시스템
PHP 5.2.7 이전 모든 버전 (display_errors 활성화 시)
⚔️ 공격 벡터
특정 요청을 통해 PHP 에러 메시지에 악성 스크립트를 포함시켜 브라우저에서 실행
🛡️ 대응 방법
PHP를 5.2.8 이상으로 업그레이드하거나 display_errors를 비활성화하고 error_log를 사용
🔧 검증 코드
PHP 버전이 5.2.8 이상인지, display_errors가 Off(0)로 설정되어 있는지 확인. 버전이 낮거나 display_errors가 On이면 취약함
php -r "echo 'PHP Version: ' . PHP_VERSION . ' | display_errors: ' . ini_get('display_errors');" 2>/dev/null