🔍 CVE-2024-44635

📍 영향받는 시스템

PHPGurukul Student Record System 3.20

⚔️ 공격 벡터

관리자 프로필 페이지의 adminname 또는 aemailid 파라미터에 악성 스크립트를 삽입하여 피해자 브라우저에서 실행

🛡️ 대응 방법

입력값에 대한 출력 인코딩 및 검증을 적용하거나, 벤더가 제공하는 최신 버전으로 업데이트

🔧 검증 코드

출력 결과가 나타나면 htmlspecialchars 등의 이스케이프 처리 없이 파라미터가 출력되고 있을 가능성이 있어 취약한 것으로 판단하며, 결과가 없으면 파일 경로를 확인하거나 이스케이프 처리가 적용된 것으로 간주합니다.

grep -rn "adminname\|aemailid" /var/www/html/admin-profile.php 2>/dev/null | grep -v htmlspecialchars

📊 CVSS Vector String

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

💻 영향받는 소프트웨어