🇰🇷 한글 설명
Drupal의 MediaFront 모듈(6.x-1.5 이전, 7.x-1.5 이전)에 포함된 OSM Player PHP 애플리케이션에 여러 XSS 취약점이 존재합니다. 공격자는 $_SERVER 변수(HTTP_HOST, SCRIPT_NAME)나 플레이리스트 파라미터, $_SESSION 변수 등을 통해 임의의 웹 스크립트나 HTML을 주입할 수 있습니다.
💡 쉬운 설명
Drupal 웹사이트의 동영상 재생 기능에 보안 결함이 있어서, 공격자가 악의적인 스크립트를 몰래 삽입할 수 있습니다. 사용자가 이를 열면 악의적인 코드가 실행되어 정보를 탈취당하거나 피해를 입을 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in the "stand alone PHP application for the OSM Player," as used in the MediaFront module 6.x-1.x before 6.x-1.5 and 7.x-1.x before 7.x-1.5 for Drupal, allow remote attackers to inject arbitrary web script or HTML via (1) $_SERVER['HTTP_HOST'] or (2) $_SERVER['SCRIPT_NAME'] to players/osmplayer/player/OSMPlayer.php, (3) playlist parameter to players/osmplayer/player/getplaylist.php, and possibly other vectors related to $_SESSION.
📍 영향받는 시스템
Drupal MediaFront 모듈 6.x-1.0 ~ 6.x-1.4, 7.x-1.0 ~ 7.x-1.4
⚔️ 공격 벡터
HTTP 요청의 HTTP_HOST, SCRIPT_NAME 헤더 또는 getplaylist.php의 playlist 파라미터에 XSS 페이로드 주입
🛡️ 대응 방법
Drupal MediaFront 모듈을 6.x-1.5 이상 또는 7.x-1.5 이상으로 즉시 업그레이드
🔧 검증 코드
파일이 존재하면 취약한 버전의 MediaFront이 설치되어 있을 가능성이 있으므로, 모듈 버전을 modules/mediafront/version.txt 또는 modules/mediafront/README.txt에서 확인해야 합니다.
find /var/www/html -name 'OSMPlayer.php' -o -name 'getplaylist.php' 2>/dev/null | head -5