🇰🇷 한글 설명
php-calendar 2017-03-03 이전 버전의 error.php에서 errorMsg 매개변수에 대한 불충분한 필터링으로 인해 XSS 취약점이 발생합니다. 공격자는 악의적인 HTML/JavaScript 코드를 주입하여 사용자의 브라우저에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
php-calendar 프로그램의 오류 메시지 표시 부분에 보안 검사가 부족해서, 악의적인 웹사이트 코드를 삽입할 수 있습니다. 사용자가 링크를 클릭하면 해커의 코드가 실행됩니다.
🇺🇸 원문 (English)
A Cross-Site Scripting (XSS) issue was discovered in php-calendar before 2017-03-03. The vulnerability exists due to insufficient filtration of user-supplied data (errorMsg) passed to the "php-calendar-master/error.php" URL. An attacker could execute arbitrary HTML and script code in a browser in the context of the vulnerable website.
📍 영향받는 시스템
php-calendar 버전 2017-03-03 이전 (예: 0.11 및 이전 버전)
⚔️ 공격 벡터
error.php?errorMsg=<script>alert('XSS')</script> 형태로 URL 파라미터에 JavaScript 코드를 삽입
🛡️ 대응 방법
php-calendar를 2017-03-03 이후 최신 버전으로 업데이트
🔧 검증 코드
설치된 php-calendar 패키지 정보가 표시되면, 버전 번호가 2017-03-03 이전이면 취약합니다. 미설치 상태면 'not found' 또는 출력 없음.
dpkg -l 2>/dev/null | grep php-calendar || rpm -q php-calendar 2>/dev/null || find /usr/share -name '*php-calendar*' -type d 2>/dev/null