🇰🇷 한글 설명
PHP Scripts Mall의 PHP Multivendor Ecommerce 플랫폼에서 my_wishlist.php 파일의 fid 매개변수가 제대로 검증되지 않아 발생하는 저장형 XSS(Cross-Site Scripting) 취약점입니다. 공격자는 악의적인 스크립트를 주입하여 다른 사용자의 브라우저에서 임의의 JavaScript 코드를 실행할 수 있습니다.
💡 쉬운 설명
위시리스트 페이지에 입력값을 확인하지 않아 악의적인 코드를 삽입할 수 있는 보안 문제입니다. 이 코드가 실행되면 사용자의 개인정보를 탈취하거나 잘못된 행동을 유도할 수 있습니다.
🇺🇸 원문 (English)
PHP Scripts Mall PHP Multivendor Ecommerce has XSS via the my_wishlist.php fid parameter.
📍 영향받는 시스템
PHP Scripts Mall PHP Multivendor Ecommerce 플랫폼 (특정 버전 미명시, 일반적으로 2017년 이전 버전)
⚔️ 공격 벡터
위시리스트 페이지의 fid 매개변수에 JavaScript 코드를 주입하여 다른 사용자의 세션 쿠키 탈취 또는 피싱 유도
🛡️ 대응 방법
플랫폼을 최신 버전으로 업그레이드하고, 모든 사용자 입력에 대해 HTML 엔티티 인코딩 및 입력 검증 강화
🔧 검증 코드
명령어 실행 결과로 취약한 my_wishlist.php 파일이 발견되면 영향을 받는 상태이며, 파일을 찾을 수 없으면 해당 플랫폼이 설치되어 있지 않거나 이미 제거된 상태
grep -r 'my_wishlist.php' /var/www/html 2>/dev/null | head -1