🇰🇷 한글 설명
phpList 2.10.19 이전 버전의 관리자 페이지(lists/admin/index.php)에서 여러 파라미터가 입력값을 검증하지 않아 발생하는 XSS 취약점입니다. 공격자는 page, footer, status, testtarget 파라미터를 통해 악의적인 스크립트를 주입할 수 있습니다.
💡 쉬운 설명
phpList 웹 애플리케이션에서 관리자 페이지의 특정 입력 항목들이 사용자 입력을 제대로 확인하지 않아, 악의적인 코드를 숨겨서 전송할 수 있습니다. 이를 이용해 관리자의 브라우저에서 원치 않는 작업을 수행하게 만들 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in lists/admin/index.php in phpList before 2.10.19 allow remote attackers to inject arbitrary web script or HTML via the (1) page parameter; or the (2) footer, (3) status, or (4) testtarget parameter in the send page.
📍 영향받는 시스템
phpList 버전 2.10.19 이전 모든 버전
⚔️ 공격 벡터
관리자 페이지의 page, footer, status, testtarget 파라미터에 HTML/JavaScript 코드를 삽입하여 XSS 공격 수행
🛡️ 대응 방법
phpList를 2.10.19 이상으로 업그레이드하거나 입력값 검증 및 이스케이프 처리 적용
🔧 검증 코드
phpList 패키지가 설치되어 있고 버전이 2.10.19 미만이면 취약점이 있는 것이므로 업그레이드 필요
dpkg -l | grep -i phplist || find /var/www -name 'version.php' -o -name 'VERSION' | xargs grep -i phplist 2>/dev/null