🔍 CVE-2017-17955

6.1
CVSS Score
MEDIUM
2017-12-28
2026-05-13 00:24
✅ 완료

🇰🇷 한글 설명

PHP Scripts Mall PHP Multivendor Ecommerce의 shopping-cart.php 파일에서 cusid 매개변수가 입력값 검증 없이 처리되어 XSS 취약점이 발생합니다. 공격자는 악의적인 JavaScript 코드를 주입하여 사용자의 세션 정보를 탈취하거나 피싱 공격을 수행할 수 있습니다.

💡 쉬운 설명

온라인 쇼핑몰 장바구니 페이지의 cusid라는 입력창에 해로운 코드를 넣을 수 있습니다. 이 코드가 다른 사용자의 브라우저에서 실행되어 개인정보를 훔치거나 악의적인 사이트로 보낼 수 있습니다.

🇺🇸 원문 (English)

PHP Scripts Mall PHP Multivendor Ecommerce has XSS via the shopping-cart.php cusid parameter.

📍 영향받는 시스템

PHP Scripts Mall PHP Multivendor Ecommerce (패치 이전 모든 버전)

⚔️ 공격 벡터

shopping-cart.php의 cusid 매개변수를 통한 Reflected XSS 공격

🛡️ 대응 방법

htmlspecialchars() 또는 htmlentities() 함수로 출력값 인코딩, 입력값 검증 강화, Content Security Policy(CSP) 헤더 적용

🔧 검증 코드

cusid 파라미터가 htmlspecialchars 없이 직접 HTML에 출력되면 취약하며, htmlspecialchars로 감싸져 있으면 패치된 상태입니다

Shell / Script 
grep -n 'cusid' /var/www/html/shopping-cart.php 2>/dev/null | grep -v htmlspecialchars

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

💻 영향받는 소프트웨어

PHP