🇰🇷 한글 설명
PHP Scripts Mall Professional Service Script의 admin/general_settingupd.php 파일에서 website_title 파라미터를 통한 반사형 XSS 취약점입니다. 관리자 권한이 필요한 설정 페이지에서 입력값이 제대로 검증되지 않아 악의적인 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
관리자 설정 페이지에서 웹사이트 제목을 입력할 때 HTML 코드를 넣으면 그대로 실행됩니다. 공격자는 이를 이용해 악성 코드를 웹사이트에 주입할 수 있습니다.
🇺🇸 원문 (English)
PHP Scripts Mall Professional Service Script has XSS via the admin/general_settingupd.php website_title parameter.
📍 영향받는 시스템
PHP Scripts Mall Professional Service Script (구체적 버전 정보 부재)
⚔️ 공격 벡터
관리자가 /admin/general_settingupd.php 페이지에서 website_title 파라미터에 악성 스크립트 입력
🛡️ 대응 방법
입력값에 대한 HTML 인코딩 적용 및 입력값 검증 강화 패치 적용
🔧 검증 코드
website_title 변수가 출력될 때 HTML 인코딩 함수(htmlspecialchars, htmlentities)를 사용하지 않으면 취약점이 존재합니다
grep -r 'website_title' /path/to/app/admin/ | grep -v htmlspecialchars | grep -v htmlentities