🇰🇷 한글 설명
SiliSoftware phpThumb() 1.7.11 버전에서 발견된 교차 사이트 스크립팅(XSS) 취약점입니다. demo/phpThumb.demo.random.php의 dir 파라미터와 demo/phpThumb.demo.showpic.php의 title 파라미터를 통해 원격 공격자가 임의의 웹 스크립트나 HTML을 주입할 수 있습니다.
💡 쉬운 설명
phpThumb라는 이미지 썸네일 생성 도구의 특정 버전에서 사용자 입력을 제대로 검증하지 않아, 악의적인 코드를 웹사이트에 삽입할 수 있는 문제입니다. 공격자가 조작된 링크를 통해 방문자의 브라우저에서 악성 스크립트를 실행하게 할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in SiliSoftware phpThumb() 1.7.11 allow remote attackers to inject arbitrary web script or HTML via the (1) dir parameter to demo/phpThumb.demo.random.php or (2) title parameter to demo/phpThumb.demo.showpic.php.
📍 영향받는 시스템
SiliSoftware phpThumb() 1.7.11 및 이전 버전
⚔️ 공격 벡터
demo 페이지의 dir, title 파라미터에 스크립트 태그를 포함한 URL을 통한 입력 기반 XSS 공격
🛡️ 대응 방법
phpThumb()를 1.7.12 이상으로 업그레이드하거나 사용자 입력에 대한 출력 인코딩(HTML escape) 적용
🔧 검증 코드
설치된 phpThumb 파일이 있으면 해당 경로가 출력되며, 버전 확인 후 1.7.11 이하면 업그레이드 필요
find / -name 'phpThumb*.php' -o -name 'phpthumb*' 2>/dev/null | head -5