🇰🇷 한글 설명
Webasyst Shop-Script 5.2.2.30933에서 contact 추가 시 phone number 필드를 통한 XSS 취약점이 존재합니다. 공격자가 phpecom/index.php/webasyst/contacts/로 악의적인 JavaScript 코드를 주입하여 관리자나 사용자의 브라우저에서 임의의 스크립트를 실행하게 할 수 있습니다.
💡 쉬운 설명
온라인 쇼핑몰 관리 소프트웨어의 전화번호 입력 필드에 악의적인 코드를 숨겨서 보낼 수 있습니다. 관리자가 입력 내용을 확인할 때 공격자의 코드가 실행되어 계정 탈취나 데이터 유출이 발생할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in Webasyst Shop-Script 5.2.2.30933 allows remote attackers to inject arbitrary web script or HTML via the phone number field in a new contact to phpecom/index.php/webasyst/contacts/.
📍 영향받는 시스템
Webasyst Shop-Script 5.2.2.30933 이하 모든 버전
⚔️ 공격 벡터
phpecom/index.php/webasyst/contacts/ 페이지의 새 연락처 추가 폼에서 phone number 필드에 JavaScript 코드 삽입
🛡️ 대응 방법
최신 패치 버전으로 업그레이드하거나 phone number 필드에 대한 입력 검증 및 출력 인코딩 구현
🔧 검증 코드
명령어가 파일 경로와 버전 정보를 출력하면 취약한 버전이 설치된 상태입니다. 출력이 없으면 영향을 받지 않습니다.
grep -r '5\.2\.2\|phpecom/index.php' /var/www 2>/dev/null | grep -i webasyst | head -1