🇰🇷 한글 설명
phpBugTracker 1.7.0 이전 버전에 존재하는 여러 크로스사이트 스크립팅(XSS) 취약점으로, 미지정된 매개변수를 통해 원격 공격자가 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 부적절한 입력 검증으로 인해 공격자가 피해자 브라우저에서 악성 코드를 실행하거나 세션 정보를 탈취할 수 있게 합니다.
💡 쉬운 설명
phpBugTracker 웹 애플리케이션이 사용자 입력을 안전하게 처리하지 않아, 해커가 악성 코드를 웹페이지에 몰래 삽입할 수 있는 문제입니다. 피해자가 해당 페이지를 방문하면 자동으로 악성 코드가 실행되어 개인정보를 도용당하거나 계정이 탈취될 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in Issuetracker phpBugTracker before 1.7.0 allow remote attackers to inject arbitrary web script or HTML via unspecified parameters.
📍 영향받는 시스템
phpBugTracker 1.7.0 이전 모든 버전
⚔️ 공격 벡터
악의적인 입력 매개변수를 포함한 URL을 사용자에게 클릭하게 하거나 폼 제출을 통한 XSS 공격으로 쿠키/세션 탈취
🛡️ 대응 방법
phpBugTracker를 1.7.0 이상으로 업그레이드하거나 입력값 HTML 이스케이핑 및 콘텐츠 보안 정책(CSP) 적용
🔧 검증 코드
phpBugTracker 설치 디렉토리에서 버전 파일을 확인하여 1.7.0 미만 버전이 설치되어 있으면 업그레이드 필요
curl -s http://localhost/phpbugtracker/ | grep -oP 'version[":\s]+[0-9.]+' | head -1 || find / -name 'version.txt' -o -name 'CHANGELOG*' 2>/dev/null | xargs grep -h '1\.[0-6]\.[0-9]'