🇰🇷 한글 설명
PHP-Code-For-Unlimited-File-Upload 프로젝트의 /f.php 파일에서 h 파라미터 처리 시 입력값이 충분히 검증되지 않아 XSS 취약점이 발생합니다. 공개된 익스플로잇이 있으며 원격에서 악용 가능합니다.
💡 쉬운 설명
파일 업로드 PHP 프로그램의 특정 기능에서 사용자 입력을 그대로 웹페이지에 표시하면 공격자가 악성 스크립트를 주입할 수 있습니다. 이를 통해 사용자의 세션 정보를 탈취하거나 악의적 동작을 수행할 수 있습니다.
🇺🇸 원문 (English)
A weakness has been identified in lokibhardwaj PHP-Code-For-Unlimited-File-Upload up to 124fe96324915490c81eaf7db3234b0b4e4bab3c. This affects an unknown part of the file /f.php. This manipulation of the argument h causes cross site scripting. Remote exploitation of the attack is possible. The exploit has been made available to the public and could be exploited. This product follows a rolling release approach for continuous delivery, so version details for affected or updated releases are not provided. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
PHP-Code-For-Unlimited-File-Upload (최신 버전 124fe96 커밋까지 영향)
⚔️ 공격 벡터
/f.php의 h 파라미터에 XSS 페이로드(예: <script>alert(1)</script>) 주입 후 피해자가 링크 클릭 시 악성 스크립트 실행
🛡️ 대응 방법
PHP htmlspecialchars() 또는 htmlentities() 함수로 h 파라미터 출력값을 필수 인코딩하거나 최신 버전으로 업데이트
🔧 검증 코드
명령어 실행 결과에서 htmlspecialchars/htmlentities/strip_tags가 같은 라인에 없으면 취약합니다.
grep -E '\$_GET\[.h.\]' f.php 2>/dev/null | head -1