🇰🇷 한글 설명
PHPJabbers Event Booking Calendar 2.0에서 CSRF 취약점으로 인해 원격 공격자가 관리자 인증을 탈취할 수 있습니다. 관리자의 사용자명과 비밀번호 변경은 물론 이벤트/카테고리 제목 입력 필드를 통한 XSS 공격도 가능합니다.
💡 쉬운 설명
해커가 가짜 링크를 통해 관리자를 속여 설정을 바꾸거나 악성 코드를 삽입할 수 있는 취약점입니다. 보안 확인 없이 요청이 처리되는 것이 원인입니다.
🇺🇸 원문 (English)
Multiple cross-site request forgery (CSRF) vulnerabilities in PHPJabbers Event Booking Calendar 2.0 allow remote attackers to hijack the authentication of administrators for requests that (1) change the username and password of the administrator via an update action to the AdminOptions controller or conduct cross-site scripting (XSS) attacks via the (2) event_title parameter in a create action to the AdminEvents controller or (3) category_title parameter in a create action to the AdminCategories controller.
📍 영향받는 시스템
PHPJabbers Event Booking Calendar 2.0
⚔️ 공격 벡터
CSRF를 통한 관리자 세션 탈취 및 입력값 검증 부족으로 인한 XSS 주입
🛡️ 대응 방법
최신 버전으로 업데이트 필수, CSRF 토큰 검증 및 입력값 HTML 이스케이프 처리 필수
🔧 검증 코드
취약한 애플리케이션의 관리자 컨트롤러 파일이 존재하면 시스템이 영향받은 버전입니다. 파일이 없으면 제거되었거나 패치된 상태입니다.
find /var/www/html -name '*AdminOptions*' -o -name '*AdminEvents*' 2>/dev/null | head -1