🇰🇷 한글 설명
MySQLDumper 1.24.4에서 여러 PHP 파일의 파라미터에 대한 크로스사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자는 index.php의 page 파라미터, install.php의 phase 파라미터, sql.php의 tablename/dbid 파라미터, restore.php의 filename 파라미터를 통해 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 사용자 입력에 대한 부적절한 검증으로 인해 발생하는 취약점입니다.
💡 쉬운 설명
웹사이트에 악의적인 코드를 몰래 삽입하는 공격입니다. 피해자가 감염된 페이지를 방문하면 자동으로 해커의 악성 코드가 사용자 브라우저에서 실행되어 쿠키나 개인정보가 탈취될 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in MySQLDumper 1.24.4 allow remote attackers to inject arbitrary web script or HTML via the (1) page parameter to index.php, (2) phase parameter to install.php, (3) tablename or (4) dbid parameter to sql.php, or (5) filename parameter to restore.php in learn/cubemail/.
📍 영향받는 시스템
MySQLDumper 1.24.4 및 이전 버전
⚔️ 공격 벡터
HTTP GET/POST 파라미터(page, phase, tablename, dbid, filename)를 통한 비인코딩 입력값 주입
🛡️ 대응 방법
MySQLDumper를 최신 버전으로 업그레이드하거나 모든 사용자 입력값에 대해 HTML 엔티티 인코딩 및 입력 검증 패치 적용
🔧 검증 코드
MySQLDumper 설치 경로가 표시되면 설치되어 있으며, conf.php 파일에서 버전 정보를 확인할 수 있습니다.
grep -r 'version\|VERSION' /var/www*/mysqldumper*/conf.php 2>/dev/null | head -1