🇰🇷 한글 설명
phpipam 1.2에서 여러 페이지의 사용자 입력 필터링 부족으로 인한 XSS 취약점입니다. app/admin/instructions/preview.php와 app/admin/powerDNS/refresh-ptr-records.php의 subnetId 파라미터를 통해 공격자가 임의의 HTML 및 자바스크립트 코드를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트에서 사용자 입력을 검증하지 않아 해커가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트가 다른 사용자 브라우저에서 실행되어 세션 탈취나 정보 유출이 발생할 수 있습니다.
🇺🇸 원문 (English)
Multiple Cross-Site Scripting (XSS) issues were discovered in phpipam 1.2. The vulnerabilities exist due to insufficient filtration of user-supplied data passed to several pages (instructions in app/admin/instructions/preview.php; subnetId in app/admin/powerDNS/refresh-ptr-records.php). An attacker could execute arbitrary HTML and script code in a browser in the context of the vulnerable website.
📍 영향받는 시스템
phpipam 버전 1.2 이하
⚔️ 공격 벡터
instructions 또는 subnetId 파라미터에 스크립트 태그를 포함한 URL 생성 및 피해자에게 전송
🛡️ 대응 방법
phpipam을 1.3 이상으로 업그레이드하거나 모든 사용자 입력에 대해 HTML 이스케이프 처리 적용
🔧 검증 코드
phpipam 설치 디렉토리의 VERSION 파일에서 버전을 확인하여 1.2 이하인 경우 즉시 업그레이드 필요
find /var/www -name 'phpipam' -type d 2>/dev/null | head -1 | xargs -I {} grep -r 'version' {}/VERSION 2>/dev/null