🇰🇷 한글 설명
JCE-Tech PHP Calendars Script의 search.php 파일에 존재하는 XSS 취약점으로, search 매개변수를 통해 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 원격 공격자가 사용자의 브라우저에서 악성 코드를 실행하도록 유도할 수 있습니다.
💡 쉬운 설명
달력 관련 PHP 프로그램의 검색 기능에 악의적인 코드를 심을 수 있는 구멍이 있습니다. 공격자가 특수한 링크를 클릭하도록 유도하면 사용자의 계정 정보나 쿠키를 훔칠 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in search.php in JCE-Tech PHP Calendars Script allows remote attackers to inject arbitrary web script or HTML via the search parameter.
📍 영향받는 시스템
JCE-Tech PHP Calendars Script (모든 버전, 특히 2009년 이전 버전)
⚔️ 공격 벡터
search 파라미터에 JavaScript 코드를 삽입하여 피해자의 브라우저에서 실행
🛡️ 대응 방법
JCE-Tech을 최신 버전으로 업그레이드하거나, search.php의 입력값을 HTML 인코딩으로 처리
🔧 검증 코드
search.php 파일이 검색되고 jce 또는 calendar 관련 코드가 포함되어 있으면 영향받는 시스템일 수 있음
find / -name search.php -type f 2>/dev/null | xargs grep -l "jce\|calendar" 2>/dev/null