🇰🇷 한글 설명
PHPDug 2.0.0에서 발견된 XSS 취약점으로, add_story.php, editprofile.php, adm/content_add.php, adm/admin_edit.php의 네 가지 파라미터에서 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 공격자는 이를 통해 사용자의 브라우저에서 악의적인 코드를 실행하고 세션 탈취나 정보 유출을 시도할 수 있습니다.
💡 쉬운 설명
PHPDug 웹사이트의 여러 입력 필드에 악의적인 코드를 삽입할 수 있는 보안 결함입니다. 공격자는 이를 이용해 사용자들의 개인정보를 탈취하거나 계정을 조종할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHPDug 2.0.0 allow remote attackers to inject arbitrary web script or HTML via (1) the story_url parameter to add_story.php, (2) the email parameter to editprofile.php, (3) the title parameter to adm/content_add.php, or (4) the username parameter to adm/admin_edit.php.
📍 영향받는 시스템
PHPDug 2.0.0 및 이전 버전
⚔️ 공격 벡터
add_story.php의 story_url, editprofile.php의 email, adm/content_add.php의 title, adm/admin_edit.php의 username 파라미터에 JavaScript 코드를 포함한 입력값 전송
🛡️ 대응 방법
PHPDug를 최신 버전으로 업그레이드하고 모든 사용자 입력에 대해 HTML 엔터티 인코딩 및 입력 검증 적용
🔧 검증 코드
명령어가 파일 경로를 반환하면 PHPDug가 설치되어 있는 것이고, 빈 결과는 설치되지 않았거나 다른 경로에 있음을 의미합니다.
find /var/www -type f -name 'add_story.php' 2>/dev/null | head -1