🇰🇷 한글 설명
PHPFreeForum 1.0 RC2 이하의 여러 XSS 취약점으로, error.php의 message 파라미터와 part/menu.php의 nickname, randomid 파라미터를 통해 원격 공격자가 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 사용자가 감염된 페이지를 방문하면 악성 코드가 실행됩니다.
💡 쉬운 설명
오래된 포럼 소프트웨어에서 입력 필드를 통해 악의적인 코드가 웹 페이지에 주입될 수 있는 취약점입니다. 포럼 방문자들이 이 악성 코드를 실행하게 되어 개인정보 탈취나 세션 하이재킹 등의 피해를 입을 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHPFreeForum 1.0 RC2 and earlier allow remote attackers to inject arbitrary web script or HTML via the (1) message parameter to error.php, and the (2) nickname and (3) randomid parameters to part/menu.php.
📍 영향받는 시스템
PHPFreeForum 1.0 RC2 이하 모든 버전
⚔️ 공격 벡터
원격 공격자가 error.php의 message 파라미터나 part/menu.php의 nickname/randomid 파라미터에 JavaScript 코드를 포함시켜 전송
🛡️ 대응 방법
최신 보안 패치 버전으로 업그레이드하거나 입력 검증과 출력 인코딩을 적용하여 XSS 방지
🔧 검증 코드
파일이 발견되면 phpfreeforum 버전을 확인하고 1.0 RC2 이하면 취약한 상태임
find /var/www /home -name 'error.php' 2>/dev/null | head -5