🇰🇷 한글 설명
phpList 2.10.19 이전 버전의 관리자 페이지(admin/index.php)에서 여러 XSS 취약점이 존재합니다. import4 페이지의 remote_user, remote_database, remote_userprefix, remote_password, remote_prefix 파라미터와 bouncerule 페이지의 id 파라미터에서 사용자 입력을 제대로 검증하지 않아 공격자가 임의의 웹 스크립트나 HTML을 주입할 수 있습니다.
💡 쉬운 설명
phpList 메일링 리스트 관리 프로그램의 설정 페이지에서 입력값을 검증하지 않아 공격자가 악성 코드를 삽입할 수 있습니다. 관리자 계정으로 로그인한 사용자의 세션을 탈취하거나 관리자가 방문하도록 유도하여 개인 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in lists/admin/index.php in phpList before 2.10.19 allow remote attackers to inject arbitrary web script or HTML via the (1) remote_user, (2) remote_database, (3) remote_userprefix, (4) remote_password, or (5) remote_prefix parameter to the import4 page; or the (6) id parameter to the bouncerule page.
📍 영향받는 시스템
phpList 버전 2.10.19 이전
⚔️ 공격 벡터
admin/index.php의 import4 및 bouncerule 페이지에서 파라미터에 XSS 페이로드 주입
🛡️ 대응 방법
phpList를 2.10.19 이상의 최신 버전으로 즉시 업그레이드
🔧 검증 코드
명령어로 phpList admin 페이지를 찾으면 설치 위치 확인, 해당 파일의 버전 정보를 확인하여 2.10.19 미만이면 취약
find / -path '*/lists/admin/index.php' -type f 2>/dev/null | head -1