🔍 CVE-2017-17956

6.1
CVSS Score
MEDIUM
2017-12-28
2026-05-13 00:24
✅ 완료

🇰🇷 한글 설명

PHP Scripts Mall의 PHP Multivendor Ecommerce 플랫폼의 admin/sellerupd.php 파일에서 companyname 매개변수가 적절히 검증되지 않아 Stored XSS(저장 기반 크로스 사이트 스크립팅) 취약점이 발생합니다. 관리자 권한이 필요하지만, 악의적인 회사명을 입력하면 다른 관리자가 접속할 때 악성 스크립트가 실행됩니다.

💡 쉬운 설명

쇼핑몰 관리 페이지에서 상점 이름을 저장할 때 악의적인 코드를 넣을 수 있는 보안 문제입니다. 나중에 관리자가 그 페이지를 열면 공격자의 코드가 실행됩니다.

🇺🇸 원문 (English)

PHP Scripts Mall PHP Multivendor Ecommerce has XSS via the admin/sellerupd.php companyname parameter.

📍 영향받는 시스템

PHP Scripts Mall PHP Multivendor Ecommerce (특정 버전 명시 필요 - 해당 CVE는 2017년 보고)

⚔️ 공격 벡터

관리자가 sellerupd.php 페이지의 companyname 필드에 HTML/JavaScript 코드를 주입하여 저장

🛡️ 대응 방법

companyname 입력값에 대한 HTML 이스케이프 처리 추가, 입력값 검증 및 Content Security Policy 적용

🔧 검증 코드

companyname을 처리하는 코드에서 htmlspecialchars나 유사한 이스케이프 함수가 없으면 취약함 (함수 없으면 위험, 있으면 안전)

Shell / Script 
grep -r 'companyname' /var/www/html/admin/ 2>/dev/null | grep -v htmlspecialchars

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

💻 영향받는 소프트웨어

PHP