🇰🇷 한글 설명
AmazCart CMS 3.4에는 반사형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 인증되지 않은 공격자가 검색 기능을 통해 악성 스크립트를 주입할 수 있습니다. 주입된 스크립트는 검색 기록을 조회하거나 검색 결과가 표시될 때 실행됩니다.
💡 쉬운 설명
웹사이트의 검색창에 특정 코드를 입력하면, 그 코드가 다른 사용자의 브라우저에서 실행될 수 있습니다. 이를 통해 사용자의 정보가 탈취되거나 원치 않는 동작이 발생할 수 있습니다.
🇺🇸 원문 (English)
AmazCart CMS 3.4 contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to inject malicious scripts by submitting payloads through the search functionality. Attackers can enter script tags in the search box to execute arbitrary JavaScript that fires when search history is viewed or results are displayed.
📍 영향받는 시스템
AmazCart CMS 3.4
⚔️ 공격 벡터
공격자가 검색창에 악성 script 태그를 포함한 페이로드를 입력하여 검색 기록 조회 또는 검색 결과 표시 시 스크립트를 실행시킴
🛡️ 대응 방법
AmazCart CMS를 최신 버전으로 업그레이드하고, 사용자 입력값에 대한 출력 인코딩 및 입력 검증을 적용하며, Content Security Policy(CSP)를 설정
🔧 검증 코드
출력 결과에 AmazCart 관련 파일과 버전 정보가 나타나면 3.4 버전 여부를 확인하고, 결과가 없으면 해당 CMS가 설치되지 않은 것으로 판단
grep -ri 'amazcart' /var/www 2>/dev/null | grep -iE 'version|3\.4' | head -n 5