🇰🇷 한글 설명
PG MatchMaking 소프트웨어의 여러 페이지에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자는 show, gender, id와 같은 특정 매개변수를 통해 악성 웹 스크립트나 HTML을 주입할 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 주소창 입력값에 악성 코드를 넣어 다른 사용자의 정보를 훔치거나 웹사이트를 변조할 수 있는 보안 약점입니다. 공격자가 조작한 링크를 클릭하게 만드는 방식으로 공격이 이루어집니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PG MatchMaking allow remote attackers to inject arbitrary web script or HTML via the show parameter to (1) browse_ladies.php and (2) browse_men.php, the (3) gender parameter to search.php, and the (4) id parameter to services.php.
📍 영향받는 시스템
PG MatchMaking (show, gender, id 매개변수를 사용하는 버전)
⚔️ 공격 벡터
웹 애플리케이션의 URL 매개변수에 악성 스크립트를 삽입하여 실행하는 방식
🛡️ 대응 방법
사용자 입력값에 대한 적절한 필터링 및 HTML 엔티티 인코딩 적용
🔧 검증 코드
URL 매개변수에 스크립트를 포함하여 요청했을 때, 응답 본문에 입력한 스크립트가 필터링 없이 그대로 포함되어 있는지 확인합니다.
curl -s -I 'http://<target_url>/browse_ladies.php?show=<script>alert(1)</script>' | grep -i 'HTTP/1.1'