🇰🇷 한글 설명
PHP Scripts Mall의 Multivendor Ecommerce 플랫폼의 seller-view.php 파일에서 usid 파라미터에 대한 부적절한 입력 검증으로 인해 반사형 XSS 취약점이 존재합니다. 공격자는 악의적인 JavaScript 코드를 포함한 URL을 통해 사용자의 브라우저에서 코드를 실행시킬 수 있습니다.
💡 쉬운 설명
온라인 쇼핑몰 플랫폼의 판매자 페이지에서 사용자 정보를 처리할 때 입력값을 검사하지 않습니다. 이를 악용하면 누군가 악의적인 링크를 클릭하게 해서 사용자의 컴퓨터에서 원하지 않는 동작을 실행하도록 할 수 있습니다.
🇺🇸 원문 (English)
PHP Scripts Mall PHP Multivendor Ecommerce has XSS via the seller-view.php usid parameter.
📍 영향받는 시스템
PHP Scripts Mall PHP Multivendor Ecommerce (2017년 이전 버전)
⚔️ 공격 벡터
seller-view.php의 usid 파라미터에 XSS 페이로드를 주입하여 반사형 XSS 공격 수행
🛡️ 대응 방법
입력값 검증 및 HTML 이스케이프 처리 추가, 최신 보안 패치 적용, Content-Security-Policy 헤더 설정
🔧 검증 코드
명령어가 파일 경로를 반환하면 취약한 버전이 설치된 것이며, 'Not found'이면 해당 제품이 설치되지 않았거나 다른 경로에 있음을 의미합니다.
find /var/www -name 'seller-view.php' 2>/dev/null