🇰🇷 한글 설명
PHP Kobo Photo Gallery CMS 1.0.1 이전 버전의 admin.php에서 jquery.lightbox-0.5.min.js를 통해 입력값이 제대로 검증되지 않아 발생하는 반사형 XSS 취약점입니다. 원격 인증 사용자가 악의적인 스크립트를 주입하여 다른 관리자의 세션 정보를 탈취하거나 관리 기능을 악용할 수 있습니다.
💡 쉬운 설명
관리자 로그인 후 특정 입력 필드에 악성 코드를 넣으면, 다른 관리자가 그 페이지를 볼 때 숨겨진 코드가 실행됩니다. 이를 통해 관리자 계정 정보를 빼앗거나 중요한 설정을 변경할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in jquery.lightbox-0.5.min.js in PHP Kobo Photo Gallery CMS for PC, smartphone and feature phone 1.0.1 Free and earlier allows remote authenticated users to inject arbitrary web script or HTML via unspecified input to admin.php.
📍 영향받는 시스템
PHP Kobo Photo Gallery CMS 1.0.1 이하 모든 버전
⚔️ 공격 벡터
원격 인증 사용자가 admin.php의 이미지 라이트박스 관련 파라미터에 HTML/JavaScript를 주입하는 방식
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 입력값 검증 및 출력 인코딩 패치를 적용하고 jquery.lightbox 라이브러리를 최신 버전으로 업데이트
🔧 검증 코드
해당 취약한 버전의 라이브러리가 검색되면 시스템이 영향을 받은 것이며, 버전 업그레이드가 필요합니다.
grep -r 'jquery.lightbox-0.5' /path/to/kobo 2>/dev/null