🇰🇷 한글 설명
JCE-Tech PHP Video Script의 index.php에 존재하는 XSS 취약점으로, key 매개변수에 대한 입력값 검증이 부족하여 공격자가 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 이를 통해 사용자의 브라우저에서 악성 스크립트가 실행되고 개인정보가 탈취되거나 세션이 탈취될 수 있습니다.
💡 쉬운 설명
동영상 재생 프로그램의 설정값을 받는 부분에서 검사가 부족해서, 공격자가 악성 코드를 몰래 숨겨 보낼 수 있습니다. 이 코드가 사용자 브라우저에서 실행되면서 개인정보를 훔칠 수 있게 됩니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in index.php in JCE-Tech PHP Video Script allows remote attackers to inject arbitrary web script or HTML via the key parameter.
📍 영향받는 시스템
JCE-Tech PHP Video Script (2009년 이전 버전)
⚔️ 공격 벡터
HTTP GET/POST 요청의 key 파라미터에 JavaScript 코드나 HTML 태그 삽입
🛡️ 대응 방법
JCE-Tech PHP Video Script를 최신 버전으로 업그레이드하거나, key 파라미터 입력값에 대한 필터링 및 HTML 이스케이프 처리 추가
🔧 검증 코드
JCE-Tech 관련 index.php 파일이 검출되면 영향받는 버전 설치 여부 확인, 결과 없으면 미설치 상태
find /var/www -name 'index.php' -exec grep -l 'key' {} \; 2>/dev/null | head -1