🇰🇷 한글 설명
PHP Address Book 7.0 이하 버전의 group.php와 translate.php에 존재하는 크로스사이트 스크립팅(XSS) 취약점으로, PATH_INFO, target_language, target_flag 파라미터를 통해 악의적인 웹 스크립트 또는 HTML을 주입할 수 있습니다. 공격자는 이를 이용하여 사용자의 브라우저에서 임의의 JavaScript 코드를 실행할 수 있습니다.
💡 쉬운 설명
PHP Address Book 프로그램의 일부 페이지에서 사용자 입력값을 제대로 검증하지 않아, 악의적인 코드를 삽입하고 다른 사용자들이 볼 수 있도록 할 수 있는 문제입니다. 사용자가 조작된 링크를 클릭하면 그들의 개인정보가 유출되거나 계정이 탈취될 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHP Address Book 7.0 and earlier allow remote attackers to inject arbitrary web script or HTML via the (1) PATH_INFO to group.php, or the (2) target_language or (3) target_flag parameter to translate.php.
📍 영향받는 시스템
PHP Address Book 7.0 및 그 이전 모든 버전
⚔️ 공격 벡터
group.php의 PATH_INFO 파라미터 또는 translate.php의 target_language/target_flag 파라미터에 XSS 페이로드 삽입
🛡️ 대응 방법
PHP Address Book을 7.1 이상 버전으로 업그레이드하거나, 모든 사용자 입력값에 대해 HTML 인코딩 및 입력값 검증을 적용
🔧 검증 코드
명령어가 결과를 반환하면 시스템에 PHP Address Book이 설치되어 있으며, 결과에서 버전 정보가 7.0 이하면 취약점이 존재합니다.
grep -r 'PHP Address Book' /var/www/html 2>/dev/null | head -1