🇰🇷 한글 설명
Hutscripts PHP Website Script의 feedback.php, index.php, lostpassword.php에서 msg 매개변수에 대한 입력 검증이 부족하여 XSS 취약점이 발생한다. 공격자는 이를 악용하여 악의적인 웹 스크립트나 HTML을 주입할 수 있다.
💡 쉬운 설명
이 보안 문제는 웹사이트가 사용자 입력을 안전하게 처리하지 않아서 악성 코드를 실행할 수 있게 된다. 공격자가 속임수 링크로 사용자를 유도하면 개인정보 도용이나 계정 탈취가 가능하다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in Hutscripts PHP Website Script allow remote attackers to inject arbitrary web script or HTML via the msg parameter to (1) feedback.php, (2) index.php, and (3) lostpassword.php.
📍 영향받는 시스템
Hutscripts PHP Website Script (모든 버전, 특히 2009년 이전 버전)
⚔️ 공격 벡터
msg 매개변수를 통한 반사형 XSS (클라이언트측 공격)
🛡️ 대응 방법
공식 패치 적용 또는 사용자 입력에 htmlspecialchars()/htmlentities() 함수 적용
🔧 검증 코드
명령어가 <img src=x>를 반환하면 필터링되지 않은 XSS 취약점, 반환값이 없으면 보호됨
curl -s 'http://target/feedback.php?msg=<img src=x>' 2>/dev/null | grep -o '<img src=x>'