🔍 CVE-2017-17940

4.8
CVSS Score
MEDIUM
2017-12-28
2026-05-13 00:24
✅ 완료

🇰🇷 한글 설명

PHP Scripts Mall Single Theater Booking 애플리케이션의 관리자 페이지(admin/sitesettings.php)에서 title 파라미터가 제대로 검증되지 않아 발생하는 XSS(교차 사이트 스크립팅) 취약점입니다. 공격자가 악의적인 JavaScript 코드를 title 필드에 입력하면 관리자나 다른 사용자의 세션을 탈취할 수 있습니다.

💡 쉬운 설명

영화관 예약 시스템의 관리자 화면에서 제목 입력칸에 악성 코드를 숨겨서 보낼 수 있는 보안 문제입니다. 관리자가 이 페이지를 방문하면 숨겨진 코드가 실행되어 개인정보가 유출될 수 있습니다.

🇺🇸 원문 (English)

PHP Scripts Mall Single Theater Booking has XSS via the title parameter to admin/sitesettings.php.

📍 영향받는 시스템

PHP Scripts Mall Single Theater Booking (버전 정보 불명; 2017년 이전 버전 대부분 영향)

⚔️ 공격 벡터

공격자가 admin/sitesettings.php의 title 파라미터에 JavaScript 코드를 주입하면 관리자 페이지 접근 시 코드가 실행됨

🛡️ 대응 방법

입력값 검증 및 출력값 이스케이프 처리 구현, 관리자 페이지에 CSRF 토큰 추가, Content Security Policy(CSP) 헤더 설정

🔧 검증 코드

명령어가 sitesettings.php 파일을 찾으면 해당 버전의 애플리케이션이 설치되어 있으며, 파일 내 입력값 필터링 코드 확인으로 취약점 존재 여부 판단 가능

Shell / Script 
find /var/www -name 'sitesettings.php' 2>/dev/null | head -1 | xargs grep -l 'title' | head -1

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

💻 영향받는 소프트웨어

PHP