🇰🇷 한글 설명
PHP-Fusion 9.03.50에서 panels.php의 'panel_content' POST 파라미터에 대한 크로스 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 사용자 입력을 제대로 필터링하지 않아 공격자가 임의의 자바스크립트를 주입할 수 있습니다.
💡 쉬운 설명
PHP-Fusion 9.03.50의 panels.php에서 사용자 입력을 제대로 필터링하지 않아 공격자가 임의의 자바스크립트를 주입할 수 있습니다. 이는 사이트의 보안을 위협할 수 있습니다. 사용자 입력을 항상 신뢰할 수 없고, 입력된 데이터를 처리하기 전에 항상 유효성 검사를 수행해야 합니다.
🇺🇸 원문 (English)
PHP-Fusion 9.03.50 panels.php is vulnerable to cross-site scripting (XSS) via the 'panel_content' POST parameter. The application fails to properly sanitize user input before rendering it in the browser, allowing attackers to inject arbitrary JavaScript. This can be exploited by submitting crafted input to the 'panel_content' field in panels.php, resulting in execution of malicious scripts in the context of the affected site.
📍 영향받는 시스템
PHP-Fusion 9.03.50
⚔️ 공격 벡터
공격자는 'panel_content' 필드에 악의적인 입력을 제출하여 XSS 공격을 수행할 수 있습니다.
🛡️ 대응 방법
PHP-Fusion의 최신 버전으로 업데이트하거나, 사용자 입력을 필터링하는 보안 패치를 적용하세요.
🔧 검증 코드
로컬 시스템에서 PHP-Fusion이 설치되어 있는 경우, 위의 Python 코드를 실행하여 XSS 취약점 여부를 확인할 수 있습니다. 코드를 실행하기 전에, requests 라이브러리가 설치되어 있는지 확인하세요. 또한, panels.php 파일이 http://localhost/panels.php에 접근할 수 있는지 확인하세요.
import requests
response = requests.post('http://localhost/panels.php', data={'panel_content': '<script>alert(1)</script>'})
if '<script>alert(1)</script>' in response.text:
print('{"result": "취약", "reason": "XSS 공격에 취약합니다."}')
else:
print('{"result": "양호", "reason": "XSS 공격에 양호합니다."}')