🇰🇷 한글 설명
JCE-Tech PHP Calendars의 product_list.php 파일에서 cat 매개변수를 통해 임의의 웹 스크립트나 HTML을 주입할 수 있는 크로스사이트 스크립팅(XSS) 취약점입니다. 이는 CVE-2010-0375의 SQL 주입 취약점 악용으로 인한 강제된 SQL 오류 메시지 노출과 연계되어 발생합니다.
💡 쉬운 설명
공격자가 특정 매개변수를 조작하여 악성 코드를 웹페이지에 삽입할 수 있는 취약점입니다. 이를 통해 다른 사용자들의 브라우저에서 공격자가 원하는 악성 스크립트가 실행될 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in product_list.php in JCE-Tech PHP Calendars, downloaded 2010-01-11, allows remote attackers to inject arbitrary web script or HTML via the cat parameter. NOTE: this issue is reportedly resultant from a forced SQL error message that occurs from exploitation of CVE-2010-0375.
📍 영향받는 시스템
JCE-Tech PHP Calendars (2010-01-11 이전 버전)
⚔️ 공격 벡터
product_list.php의 cat 매개변수에 HTML/JavaScript 코드를 삽입하여 XSS 공격 수행
🛡️ 대응 방법
JCE-Tech PHP Calendars를 최신 버전으로 업그레이드하거나, 입력값 검증 및 출력 인코딩 적용
🔧 검증 코드
결과가 없으면 해당 소프트웨어가 설치되어 있지 않은 상태이며, 파일이 발견되면 버전 확인 후 패치 적용 필요
find / -name 'product_list.php' -o -name '*jcecal*' 2>/dev/null | head -20