🔍 CVE-2024-51430

6.4
CVSS Score
MEDIUM
2024-10-31
2026-04-15 00:35
✅ 완료

🇰🇷 한글 설명

온라인 진단 검사실 관리 시스템의 Test Name 파라미터에서 XSS 취약점이 발견되었습니다. 원격 공격자가 diagnostic/add-test.php 컴포넌트를 통해 임의의 JavaScript 코드를 실행할 수 있습니다. 이를 통해 사용자 세션 탈취, 데이터 유출, 시스템 제어 등이 가능합니다.

💡 쉬운 설명

진단 시스템에서 검사 이름을 입력할 때 악의적인 코드를 삽입할 수 있는 취약점입니다. 공격자가 사용자의 브라우저에서 임의의 명령을 실행하거나 개인정보를 탈취할 수 있습니다.

🇺🇸 원문 (English)

Cross Site Scripting vulnerability in online diagnostic lab management system using php v.1.0 allows a remote attacker to execute arbitrary code via the Test Name parameter on the diagnostic/add-test.php component.

📍 영향받는 시스템

Online diagnostic lab management system (PHP v.1.0) - diagnostic/add-test.php 컴포넌트

⚔️ 공격 벡터

Test Name 파라미터에 JavaScript 페이로드 주입 (예: <script>alert(1)</script>) 후 입력값이 적절히 검증/필터링되지 않아 실행됨

🛡️ 대응 방법

입력값 검증 강화 (화이트리스트 기반), HTML 엔티티 인코딩, Content Security Policy(CSP) 헤더 추가, 최신 PHP 버전 업데이트

🔧 검증 코드

add-test.php 파일 위치 확인 후 Test Name 입력 필드가 있는지 확인하고, 입력값 검증 로직 존재 여부 확인

Shell / Script 
grep -r 'add-test\.php' . 2>/dev/null | head -5 && curl -s 'http://target/diagnostic/add-test.php' | grep -i 'test.name' | head -3

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

💻 영향받는 소프트웨어

PHP