🇰🇷 한글 설명
Real Estate PHP Script의 search_residential.php 파일에서 bos 파라미터에 대한 입력값 검증이 부족하여 발생하는 XSS 취약점입니다. 공격자는 악의적인 JavaScript 코드를 삽입하여 사용자의 브라우저에서 실행시킬 수 있습니다.
💡 쉬운 설명
부동산 검색 기능에서 검색어를 제대로 확인하지 않아서 악성 코드를 숨겨보낼 수 있는 문제입니다. 사용자가 검색할 때 악성 링크를 클릭하면 개인정보가 도용될 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in search_residential.php in Real Estate PHP Script allows remote attackers to inject arbitrary web script or HTML via the bos parameter.
📍 영향받는 시스템
Real Estate PHP Script (버전 미상, search_residential.php 포함 모든 구버전)
⚔️ 공격 벡터
search_residential.php의 bos 파라미터에 URL 인코딩된 JavaScript 페이로드를 주입하여 피해자를 악성 링크로 유도
🛡️ 대응 방법
bos 파라미터 값을 htmlspecialchars() 또는 htmlentities()로 필터링하고, Content-Security-Policy 헤더를 설정하여 XSS 방지
🔧 검증 코드
명령어 실행 후 search_residential.php에서 bos 파라미터 사용 여부 확인. 결과가 있으면 해당 파일의 입력 검증 코드를 audit하여 htmlspecialchars() 등 필터링 함수 사용 확인
grep -r 'bos' /path/to/real-estate-script/ | grep -i search_residential