🇰🇷 한글 설명
PHP-pastebin 2.1의 index.php에 존재하는 XSS 취약점으로, title 파라미터를 통해 공격자가 악의적인 JavaScript 코드를 주입할 수 있습니다. 이를 통해 사용자 세션 탈취, 쿠키 도용, 피싱 공격 등이 가능합니다.
💡 쉬운 설명
웹사이트의 제목 입력 창에 악의적인 코드를 넣으면 다른 사용자들이 이 코드를 실행하게 되는 취약점입니다. 마치 거짓 정보를 담은 메모를 게시판에 붙이면 많은 사람들이 속는 것과 같습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in index.php in PHP-pastebin 2.1 allows remote attackers to inject arbitrary web script or HTML via the title parameter.
📍 영향받는 시스템
PHP-pastebin 2.1 및 그 이전 버전
⚔️ 공격 벡터
HTTP GET/POST 요청의 title 파라미터에 <script> 태그나 다른 HTML 태그를 삽입하여 사용자 브라우저에서 코드 실행 유도
🛡️ 대응 방법
PHP-pastebin을 2.2 이상으로 업데이트하거나, 즉시 패치를 적용하거나, 모든 사용자 입력값에 대해 HTML 이스케이프 처리 구현
🔧 검증 코드
PHP-pastebin 설치 경로와 버전 정보가 출력되면 취약한 버전 여부를 확인할 수 있으며, 2.1 버전이 설치되어 있으면 즉시 업데이트 필요
find / -name 'pastebin' -type d 2>/dev/null | head -5 && grep -r 'pastebin' /var/www /home 2>/dev/null | grep -E '(version|VERSION|2\.1)' | head -3