🇰🇷 한글 설명
PHP Open Classifieds Script의 여러 페이지(buy.php, contact.php, tellafriend.php)에서 파라미터 검증이 부족하여 XSS 취약점이 존재합니다. 공격자가 page 또는 id 파라미터를 조작하여 악의적인 JavaScript를 주입할 수 있으며, 피해 사용자가 해당 링크를 클릭하면 쿠키 탈취, 세션 하이재킹, 악성 코드 실행 등이 가능합니다.
💡 쉬운 설명
웹사이트가 사용자 입력을 제대로 확인하지 않아 해커가 악의적인 코드를 심을 수 있는 문제입니다. 피해자가 그 링크를 클릭하면 계정 정보를 빼앗기거나 악성 프로그램에 감염될 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHP Open Classifieds Script allow remote attackers to inject arbitrary web script or HTML via the (1) page parameter to buy.php and the id parameter to (2) contact.php and (3) tellafriend.php.
📍 영향받는 시스템
PHP Open Classifieds Script (정확한 버전 범위 미상, 2009년 이전 버전)
⚔️ 공격 벡터
GET/POST 파라미터(page, id)에 HTML/JavaScript를 인코딩하여 주입
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 입력값 검증/HTML 인코딩 패치 적용
🔧 검증 코드
파일이 발견되면 해당 설치본이 존재하며, 파일 내용의 GET/POST 파라미터 처리 부분에서 htmlspecialchars() 등의 보호 함수가 없으면 취약한 상태입니다.
find / -name 'buy.php' -o -name 'contact.php' -o -name 'tellafriend.php' 2>/dev/null | head -5