🔍 CVE-2009-4688

4.3
CVSS Score
MEDIUM
2010-03-10
2026-04-29 01:13
✅ 완료

🇰🇷 한글 설명

PHP Shopping Cart Selling Website Script의 index.php 파일에서 txtkeywords와 cid 파라미터에 대한 입력 검증 부족으로 인한 XSS 취약점입니다. 공격자가 악의적인 스크립트를 주입하여 사용자 브라우저에서 실행되도록 할 수 있습니다.

💡 쉬운 설명

웹사이트 검색창이나 카테고리 선택 기능에서 악의적인 코드를 입력하면 그대로 실행되는 문제입니다. 이를 통해 사용자의 쿠키 탈취나 악성 사이트로의 리다이렉션이 가능합니다.

🇺🇸 원문 (English)

Multiple cross-site scripting (XSS) vulnerabilities in index.php in PHP Shopping Cart Selling Website Script allow remote attackers to inject arbitrary web script or HTML via the (1) txtkeywords and (2) cid parameters.

📍 영향받는 시스템

PHP Shopping Cart Selling Website Script (정확한 버전 범위 불명확, 2009년 이전 버전들)

⚔️ 공격 벡터

GET/POST 파라미터 txtkeywords 또는 cid에 HTML/JavaScript 코드 주입 (예: index.php?txtkeywords=<script>alert('XSS')</script>)

🛡️ 대응 방법

index.php의 모든 사용자 입력에 대해 htmlspecialchars() 또는 htmlentities()를 적용하여 HTML 특수문자를 이스케이프 처리

🔧 검증 코드

취약한 파라미터를 처리하는 index.php 파일을 찾습니다. 파일 내용에서 사용자 입력이 적절히 이스케이프되지 않는 부분이 있으면 취약점이 존재합니다.

Shell / Script 
find . -name 'index.php' -type f -exec grep -l 'txtkeywords\|\$_GET\|\$_POST' {} \; | head -5

📊 CVSS Vector String

CVSS Vector 
AV:N/AC:M/Au:N/C:N/I:P/A:N

💻 영향받는 소프트웨어

PHP