🇰🇷 한글 설명
PHPJabbers Appointment Scheduler 2.0에서 CSRF 취약점을 통해 공격자가 관리자 인증을 탈취할 수 있습니다. i18n[1][name] 파라미터를 조작하여 XSS 공격을 수행하거나, pjAdminUsers 컨트롤러를 통해 새로운 관리자 계정을 추가할 수 있습니다.
💡 쉬운 설명
공격자가 관리자를 속여서 악의적인 링크를 클릭하도록 하면, 관리자의 권한으로 악의적인 작업을 수행할 수 있습니다. 새로운 관리자 계정 생성 또는 악성 스크립트 주입이 가능합니다.
🇺🇸 원문 (English)
Multiple cross-site request forgery (CSRF) vulnerabilities in PHPJabbers Appointment Scheduler 2.0 allow remote attackers to hijack the authentication of administrators for requests that (1) conduct cross-site scripting (XSS) attacks via the i18n[1][name] parameter in a pjActionCreate action to the pjAdminServices controller or (2) add an administrator via a pjActionCreate action to the pjAdminUsers controller.
📍 영향받는 시스템
PHPJabbers Appointment Scheduler 2.0
⚔️ 공격 벡터
CSRF 공격을 통한 관리자 인증 탈취, i18n[1][name] 파라미터 조작을 통한 XSS 공격, pjAdminUsers 컨트롤러를 통한 관리자 계정 추가
🛡️ 대응 방법
PHPJabbers Appointment Scheduler를 최신 버전으로 업그레이드하고, CSRF 토큰 검증 및 입력 필터링을 적용합니다.
🔧 검증 코드
설치된 Appointment Scheduler의 위치를 확인하고, 버전 정보를 확인하여 2.0인지 검증합니다.
grep -r 'Appointment Scheduler' /var/www/html 2>/dev/null | head -1