🇰🇷 한글 설명
PHP Scripts Mall Muslim Matrimonial Script의 관리자 패널(admin/event_add.php)에서 event_title 파라미터에 대한 입력 검증이 부족하여 XSS 공격이 가능합니다. 공격자는 악의적인 JavaScript 코드를 이벤트 제목에 삽입하여 관리자 세션에서 실행할 수 있으며, 이를 통해 관리자 계정 탈취나 시스템 제어가 가능합니다.
💡 쉬운 설명
이벤트 제목을 입력하는 관리자 페이지에서 위험한 코드를 숨겨 보낼 수 있는 문제입니다. 관리자가 그 페이지를 방문하면 해커가 심어놓은 코드가 관리자 권한으로 실행되어 피해를 입을 수 있습니다.
🇺🇸 원문 (English)
PHP Scripts Mall Muslim Matrimonial Script has XSS via the admin/event_add.php event_title parameter.
📍 영향받는 시스템
PHP Scripts Mall Muslim Matrimonial Script (구체적 버전 미공개)
⚔️ 공격 벡터
관리자 패널의 /admin/event_add.php 페이지에서 event_title 파라미터에 XSS 페이로드(예: <script>alert('XSS')</script>) 입력
🛡️ 대응 방법
입력값 검증 추가, 출력값 HTML 이스케이프 처리(htmlspecialchars/htmlentities), 필요시 최신 버전으로 업그레이드
🔧 검증 코드
해당 디렉토리에 event_title을 처리하는 코드가 있으면 취약한 애플리케이션이 설치된 상태이며, htmlspecialchars나 이스케이프 처리가 없으면 XSS 위험이 있습니다.
grep -r "event_title" /var/www/html/admin/ 2>/dev/null | head -5