🇰🇷 한글 설명
Iqbolshoh php-business-website의 admin/contact.php 파일에서 twitter 매개변수 조작을 통한 교차 사이트 스크립팅(XSS) 취약점이 존재합니다. 원격 공격자는 이 취약점을 악용하여 악의적인 스크립트를 삽입할 수 있으며, 공개된 익스플로잇이 존재합니다. 공급업체에 사전 통지했으나 응답이 없습니다.
💡 쉬운 설명
웹사이트의 문의 폼에서 트위터 입력 필드에 악성 코드를 숨쳐 넣을 수 있는 보안 허점입니다. 방문자의 개인정보 탈취, 악성 링크 전달, 브라우저 제어 등의 공격이 가능합니다.
🇺🇸 원문 (English)
A flaw has been found in Iqbolshoh php-business-website up to 10677743a8dfc281f85291a27cf63a0bce043c24. This vulnerability affects unknown code of the file admin/contact.php. This manipulation of the argument twitter causes cross site scripting. The attack may be initiated remotely. The exploit has been published and may be used. This product uses a rolling release model to deliver continuous updates. As a result, specific version information for affected or updated releases is not available. Other parameters might be affected as well. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
Iqbolshoh php-business-website (commit 10677743a8dfc281f85291a27cf63a0bce043c24 이전 모든 버전)
⚔️ 공격 벡터
원격 공격 - admin/contact.php의 twitter 파라미터에 XSS 페이로드 직접 주입
🛡️ 대응 방법
admin/contact.php에서 twitter 입력값에 htmlspecialchars() 또는 htmlentities() 필터링 추가 적용
🔧 검증 코드
조회 결과가 있으면 취약 - twitter 변수가 HTML 인코딩 없이 출력되고 있음, 결과가 없으면 보호됨
grep -n 'twitter' admin/contact.php 2>/dev/null | grep -v htmlspecialchars | grep -v htmlentities | head -5