🇰🇷 한글 설명
Carmosa phpCart 3.4~4.6.4에서 quantity, Add Engraving, Name, Company, Address, City, Province/State 등 여러 입력 필드에 대한 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자가 이 필드들에 악성 스크립트를 주입하여 사용자의 브라우저에서 임의 코드를 실행할 수 있습니다.
💡 쉬운 설명
phpCart 장바구니 시스템의 여러 입력 창에 악성 코드를 삽입할 수 있는 보안 문제입니다. 공격자가 조작된 링크를 클릭하도록 유도하면 사용자의 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in Carmosa phpCart 3.4 through 4.6.4 allow remote attackers to inject arbitrary web script or HTML via the (1) quantity or (2) Add Engraving fields to the default URI; (3) Quantity field to phpcart.php; (4) Name, (5) Company, (6) Address, (7) City, and (8) Province/State fields in a checkout action to phpcart.php; and other unspecified vectors.
📍 영향받는 시스템
Carmosa phpCart 3.4 ~ 4.6.4
⚔️ 공격 벡터
POST/GET 파라미터의 quantity, Add Engraving, Name, Company, Address, City, Province/State 필드에 HTML/JavaScript 주입
🛡️ 대응 방법
phpCart를 4.6.5 이상으로 업그레이드하거나 모든 사용자 입력에 대해 HTML 엔티티 인코딩 및 입력 검증 구현
🔧 검증 코드
phpCart 설치 위치를 찾아 버전 정보 확인 후 4.6.4 이하 버전이면 업그레이드 필요
find / -name 'phpcart.php' -o -name '*phpCart*' 2>/dev/null | head -20