🇰🇷 한글 설명
Vastal I-Tech phpVID 1.2.3 버전에 존재하는 다중 XSS 취약점으로, browse_videos.php의 n 파라미터 및 groups.php의 cat 파라미터를 통해 원격 공격자가 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 이를 통해 사용자의 세션 정보 탈취, 악성 코드 실행 등이 가능합니다.
💡 쉬운 설명
웹사이트의 특정 주소 입력칸에 해킹 코드를 집어넣으면, 그 코드가 방문자들 화면에 그대로 표시되어 정보를 빼앗거나 피해를 줄 수 있습니다. 다른 사용자의 계정을 도용하거나 악성 파일을 다운로드하게 할 수 있는 위험한 공격입니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in Vastal I-Tech phpVID 1.2.3 allow remote attackers to inject arbitrary web script or HTML via the (1) n parameter to browse_videos.php or the (2) cat parameter to groups.php.
📍 영향받는 시스템
Vastal I-Tech phpVID 1.2.3 이전 버전
⚔️ 공격 벡터
browse_videos.php의 n 파라미터 또는 groups.php의 cat 파라미터에 스크립트 태그를 포함한 코드 입력
🛡️ 대응 방법
phpVID를 최신 버전으로 즉시 업데이트하거나, 모든 사용자 입력값에 대한 검증 및 출력 인코딩 구현
🔧 검증 코드
phpVID 설치 파일이 발견되면 해당 디렉토리의 버전 파일(version.php 또는 readme.txt)을 확인하여 1.2.3 이전 버전 여부 확인
find /var/www -type f \( -name 'browse_videos.php' -o -name 'groups.php' \) 2>/dev/null | head -5