🇰🇷 한글 설명
PHPSUGAR PHP Melody 2.7.3 이전 버전의 page_manager.php에서 page_title 매개변수의 입력값이 제대로 검증되지 않아 반사형 XSS 취약점이 발생합니다. 공격자가 조작된 URL을 통해 사용자 브라우저에서 임의의 JavaScript를 실행시킬 수 있으며, 세션 탈취나 권한 상승 등으로 악용될 수 있습니다.
💡 쉬운 설명
PHP Melody 관리 도구에서 페이지 제목 입력을 제대로 검사하지 않아, 악성 코드를 웹 페이지에 숨겨 전송할 수 있습니다. 사용자가 해당 링크를 클릭하면 개인정보 탈취 같은 피해를 입을 수 있습니다.
🇺🇸 원문 (English)
In PHPSUGAR PHP Melody before 2.7.3, page_manager.php has XSS via the page_title parameter.
📍 영향받는 시스템
PHPSUGAR PHP Melody 버전 2.7.3 이전
⚔️ 공격 벡터
HTTP GET 요청의 page_title 파라미터에 HTML/JavaScript 코드 삽입
🛡️ 대응 방법
PHP Melody를 2.7.3 이상으로 업그레이드 또는 입력값 필터링 및 HTML 엔코딩 적용
🔧 검증 코드
VULNERABLE 출력 시 XSS 취약점 존재, PATCHED 출력 시 패치되었거나 대상 서버가 응답하지 않음을 의미합니다.
curl -s 'http://localhost/page_manager.php?page_title=<script>alert(1)</script>' 2>/dev/null | grep -q '<script>' && echo 'VULNERABLE' || echo 'PATCHED'