🇰🇷 한글 설명
PHPVOD v4.0의 /view/admin/view.php 파일에서 id 파라미터로 입력되는 사용자 입력값이 적절히 필터링되지 않아 reflected XSS 취약점이 발생합니다. 공격자가 악의적인 JavaScript 코드를 포함한 링크를 생성하여 사용자를 유도하면, 피해자의 브라우저에서 공격자 코드가 실행될 수 있습니다.
💡 쉬운 설명
PHPVOD 관리자 페이지의 id 파라미터에 악성 코드를 삽입하면, 사용자의 브라우저에서 자동으로 실행되는 XSS 공격입니다. 이를 통해 관리자의 세션 정보를 탈취하거나 악의적인 작업을 수행할 수 있습니다.
🇺🇸 원문 (English)
PHPVOD v4.0 was discovered to contain a reflected cross-site scripting (XSS) vulnerability via the id parameter at /view/admin/view.php.
📍 영향받는 시스템
PHPVOD v4.0 및 이전 버전
⚔️ 공격 벡터
/view/admin/view.php?id=<script>alert('XSS')</script> 형태의 URL을 관리자에게 전송하여 실행
🛡️ 대응 방법
PHPVOD를 최신 버전으로 업데이트하거나, id 파라미터 입력값에 대해 htmlspecialchars() 함수를 적용하여 HTML 특수문자를 이스케이프 처리
🔧 검증 코드
응답에서 <script> 태그가 그대로 포함되어 있으면 취약점이 존재하며, 필터링되어 있으면 패치되었을 가능성이 높습니다.
curl -s 'http://target/view/admin/view.php?id=<script>test</script>' | grep -i '<script>' && echo 'VULNERABLE' || echo 'NOT FOUND'