🇰🇷 한글 설명
NashTech Easy PHP Calendar 6.3.25의 이벤트 추가 기능에서 Details 필드(descr 파라미터)에 대한 입력 검증이 부족하여 XSS 공격이 가능합니다. 공격자는 index.php의 add 액션을 통해 임의의 웹 스크립트나 HTML을 주입할 수 있습니다.
💡 쉬운 설명
웹 달력 프로그램에서 이벤트 상세 내용을 입력할 때 악성 코드를 삽입할 수 있는 취약점입니다. 다른 사용자가 이벤트를 볼 때 공격자의 스크립트가 실행됩니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in NashTech Easy PHP Calendar 6.3.25 allows remote attackers to inject arbitrary web script or HTML via the Details field (descr parameter) in an Add New Event action in an unspecified request as generated by an add action in index.php.
📍 영향받는 시스템
NashTech Easy PHP Calendar 버전 6.3.25
⚔️ 공격 벡터
index.php의 add 액션에서 descr 파라미터에 HTML/JavaScript 코드를 포함시켜 XSS 페이로드 주입
🛡️ 대응 방법
NashTech Easy PHP Calendar를 최신 버전으로 업그레이드하거나 모든 사용자 입력을 HTML 엔티티로 이스케이프하여 구성요소별 입력 검증 구현
🔧 검증 코드
해당 달력 시스템의 add 액션에서 descr 파라미터가 스크립트 태그를 그대로 반영하면 취약점 확인, 이스케이프되어 있으면 패치됨
curl -s 'http://target/index.php?action=add&descr=<script>alert(1)</script>' | grep -q '<script>' && echo 'Vulnerable' || echo 'Not vulnerable'