🇰🇷 한글 설명
PHP Inventory 1.2의 index.php에 크로스사이트 스크립팅(XSS) 취약점이 존재하며, 공격자가 suppliers 상세 정보 조회 시 sup_id 파라미터를 통해 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 이를 통해 사용자 세션 탈취, 쿠키 도용, 악성 코드 실행 등의 피해가 발생할 수 있습니다.
💡 쉬운 설명
PHP Inventory 웹 프로그램에서 공급자 정보를 보는 페이지에 보안 문제가 있습니다. 악의적인 코드를 웹 주소에 포함시켜 다른 사용자를 클릭하게 하면, 그 사용자의 브라우저에서 공격자의 코드가 실행됩니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in index.php in PHP Inventory 1.2 allows remote attackers to inject arbitrary web script or HTML via the sup_id parameter in a suppliers details action.
📍 영향받는 시스템
PHP Inventory 버전 1.2
⚔️ 공격 벡터
suppliers 페이지의 sup_id 파라미터에 JavaScript 코드를 포함한 URL을 피해자에게 전달하여 실행
🛡️ 대응 방법
PHP Inventory를 최신 버전으로 업그레이드하거나, 사용자 입력값에 대한 HTML 인코딩 및 입력 검증 강화
🔧 검증 코드
명령어가 sup_id 파라미터를 포함하는 index.php 파일을 찾습니다. PHP Inventory 1.2가 설치되어 있으면 경로가 표시되고, 없으면 결과가 없습니다.
find / -name 'index.php' -type f 2>/dev/null | xargs grep -l 'sup_id' 2>/dev/null | grep -i inventory