🔍 CVE-2017-7992

6.1
CVSS Score
MEDIUM
2017-04-21
2026-05-13 00:24
✅ 완료

🇰🇷 한글 설명

Heartland Payment Systems의 PHP SDK v2.8.17 이하에서 예제 파일의 cavv 파라미터를 통해 reflected XSS 취약점이 존재합니다. 공격자가 악의적인 URL을 피해자에게 전송하면 브라우저에서 스크립트가 실행될 수 있습니다.

💡 쉬운 설명

결제 시스템 라이브러리의 예제 페이지가 URL의 특정 파라미터를 제대로 검증하지 않아 악성 코드를 실행할 수 있습니다. 사용자를 조작된 링크로 유인하면 그 사용자의 세션 정보나 개인데이터가 도용될 수 있습니다.

🇺🇸 원문 (English)

Heartland Payment Systems Payment Gateway PHP SDK hps/heartland-php v2.8.17 is vulnerable to a reflected XSS in examples/consumer-authentication/cruise.php via the URI, as demonstrated by the cavv parameter.

📍 영향받는 시스템

Heartland Payment Systems PHP SDK (hps/heartland-php) v2.8.17 이하, 특히 examples/consumer-authentication/cruise.php 포함된 버전

⚔️ 공격 벡터

cavv 파라미터를 포함한 조작된 URL을 통해 examples/consumer-authentication/cruise.php로 reflected XSS 공격 실행

🛡️ 대응 방법

SDK를 최신 버전으로 업데이트하고, 모든 사용자 입력값에 htmlspecialchars() 또는 유사한 이스케이핑 함수 적용, 예제 파일은 프로덕션 환경에서 제거

🔧 검증 코드

cavv 파라미터 사용 위치를 확인하여 입력값 처리 방식을 검토하고, composer.json에서 heartland-php 버전이 v2.8.18 이상인지 확인

Shell / Script 
grep -r 'cavv' /path/to/vendor/heartland-php/ 2>/dev/null | head -5

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

💻 영향받는 소프트웨어

PHP