🇰🇷 한글 설명
phpMySite의 contact.php에서 발생하는 크로스사이트 스크립팅(XSS) 취약점으로, name, city, email, state, message 매개변수를 통해 악의적인 웹 스크립트나 HTML을 주입할 수 있습니다. 공격자는 입력값 검증 부족을 이용해 사용자 세션을 탈취하거나 악성 코드를 실행하게 할 수 있습니다.
💡 쉬운 설명
웹사이트 연락처 양식에서 사용자가 입력하는 정보(이름, 도시, 이메일 등)가 제대로 검사되지 않아 악의적인 코드를 삽입할 수 있는 문제입니다. 이를 통해 다른 사용자의 정보를 도용하거나 악성 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in contact.php in phpMySite allow remote attackers to inject arbitrary web script or HTML via the (1) name, (2) city, (3) email, (4) state, and (5) message parameters.
📍 영향받는 시스템
phpMySite (2010년 이전 버전)
⚔️ 공격 벡터
공격자가 contact.php 양식의 입력 필드(name, city, email, state, message)에 JavaScript 코드를 삽입하여 피해자 브라우저에서 실행
🛡️ 대응 방법
입력값 검증 강화, 특수문자 필터링, HTML 출력 인코딩 적용, phpMySite 최신 버전으로 업그레이드
🔧 검증 코드
파일이 발견되면 해당 설치본 검토, grep -i 'phpMysite' /var/www/*/index.php로 버전 확인 후 보안 패치 적용 여부 확인
find /var/www -name 'contact.php' -type f 2>/dev/null | head -1