🇰🇷 한글 설명
PHP Server Monitor 3.2.0의 테스트 스크립트(/vendor/phpmailer/phpmailer/test_script/index.php)에 존재하는 XSS 취약점으로, 모든 가시적 파라미터가 입력값 검증 없이 처리됩니다. 공격자가 악의적인 URL을 작성하여 피해자에게 전송하면 클릭 시 세션 정보를 탈취할 수 있습니다.
💡 쉬운 설명
PHP Server Monitor 설정 페이지에 공격자가 악성 코드를 주입할 수 있는 보안 결함이 있습니다. 사용자가 그 링크를 클릭하면 로그인 정보가 도용될 수 있습니다.
🇺🇸 원문 (English)
PHP Server Monitor, version 3.2.0, is vulnerable to an XSS via the /phpservermon-3.2.0/vendor/phpmailer/phpmailer/test_script/index.php page in all visible parameters. An attacker could create a specially crafted URL, send it to a victim and retrieve their session details.
📍 영향받는 시스템
PHP Server Monitor 3.2.0 및 해당 버전의 phpmailer 테스트 스크립트
⚔️ 공격 벡터
특수 제작된 XSS 페이로드를 포함한 URL을 피해자에게 전송하여 세션 정보 탈취
🛡️ 대응 방법
PHP Server Monitor를 최신 버전으로 업그레이드하고 불필요한 테스트 스크립트(test_script/index.php) 제거
🔧 검증 코드
VULNERABLE이 출력되면 해당 버전이 설치되어 있으며 즉시 업그레이드 필요; NOT FOUND면 미설치 또는 제거 상태
test -f /opt/phpservermon/vendor/phpmailer/phpmailer/test_script/index.php && echo 'VULNERABLE' || echo 'NOT FOUND'